Claude Skills by dslsdzc

地址空间换算统一处理：PIE/ASLR 基址确定、RVA/VA 转换、loader offset（固件加载地址 vs 链接地址）、 跨工具地址对齐（Ghidra/angr/frida/gdb）。 触发词：PIE、ASLR、基址、RVA、VA、loader offset、地址换算、重定位地址、gdb算地址、angr地址。

AI 模型安全评估与取证（行为层）：extraction assessment（API 黑盒提取评估）、 fingerprint verification（行为指纹与归属验证）、privacy leakage evaluation（成员推断/隐私泄露评估）、 robustness evaluation（对抗鲁棒性评估）。 触发词：API模型窃取、黑盒模型复制、模型指纹、成员推断、对抗样本、行为水印、模型安全评估、隐私泄露评估。

AI 模型文件逆向与静态分析：ONNX/PyTorch/Safetensors/TFLite 格式解析、 网络结构还原、权重提取、文件级水印分析（权重 pattern/metadata/tensor hash/embedding 异常）。 触发词：模型文件、权重提取、ONNX解析、safetensors、pth分析、pt文件、模型结构还原、文件级水印

AI 模型分析第一入口（分流器）：识别输入形态——模型文件走文件层逆向（re-ai-model）、 仅有 API 走行为层评估（re-ai-attack）、恶意行为走恶意分析。 触发词：AI模型分析、AI模型安全、模型文件、模型泄露、模型逆向、模型分析入口。

逆向分析唯一入口。流程：环境探测(probe.sh) → 偏好询问(分析目标/反编译器/深度/报告/平台) → 任务识别(triage.md) → 编排调用大类网关。 触发词：分析、逆向、reverse、RE、帮我看看这个文件、这个样本是干什么的、 脱壳、找密钥、破解、固件分析、恶意软件分析、analyze this binary。

Android 加密体系审计（crypto audit）：AndroidKeyStore 密钥体系分析（别名/算法/用途/硬件背书）、 Cipher/KeyInfo 审计、加密调用点 hook（Frida 拦截密钥别名与用途）。 触发词：Keystore、AndroidKeyStore、Cipher、KeyInfo、StrongBox、加密审计、crypto hook、密钥别名。

Android 原生库 JNI 逆向：so 提取、JNI 注册还原、Native 逻辑分析。 触发词：JNI、.so、Android native、xhook、IDA so

angr 符号执行：符号化输入、求解。触发词：angr、符号执行、自动解题、constraint

反分析对抗网关。编排：壳识别 → 简单壳脱壳 → 强壳脱壳 → 反混淆。 子技能：[[re-packer-id]] [[re-unpack-simple]] [[re-unpack-advanced]] [[re-deobfuscate]] [[re-evasion]]。 触发词：脱壳、查壳、加壳识别、壳、UPX、VMProtect、Themida、反调试、反混淆、花指令、unpack、anti-analysis。

反作弊对抗分析：EAC/BattlEye 驱动、内存校验、检测机制还原。 触发词：反作弊、EAC、BattlEye、内存校验、anti-cheat

APK 静态分析：jadx/apktool、manifest、smali、加固识别。 触发词：apk、android逆向、jadx、smali、dex

ARM 架构逆向（非 Android）：Cortex-M/A 向量表、Thumb/ARM 切换、AAPCS 调用约定、位置相关代码重定位、MMIO 外设寄存器交叉。 触发词：ARM、arm32、Cortex-M、Cortex-A、Thumb、AAPCS、嵌入式逆向、裸机固件、stm32、向量表。

威胁归因方法论：钻石模型、基础设施图谱、置信度分级与归因报告。 触发词：归因、APT、attribution、攻击者身份、基础设施图谱、钻石模型、威胁组织。

汽车逆向：CAN 总线、ECU 固件、AUTOSAR Classic（RTE/runnable/BSW）与 Adaptive（执行管理/清单）。 触发词：汽车、CAN、ECU、车载、OBD、UDS、AUTOSAR、RTE、runnable、SWC、BSW、E_OS_ACCESS、 Adaptive、ARA、Execution Management、Function Group、Machine State、Execution Manifest

恶意行为分析：持久化、注入、进程树、文件/注册表、ATT&CK 映射。 触发词：行为分析、持久化、注册表、进程注入、它在干什么

软件逆向核心网关（公共底座）。编排：初勘 → 格式解析 → 反编译 → 调试/跟踪 → 内存。 子技能：[[re-address-space]] [[re-triage]] [[re-format-pe]] [[re-format-elf]] [[re-format-macho]] [[re-imports]] [[re-ghidra]] [[re-ida]] [[re-radare2]] [[re-gdb]] [[re-x64dbg]] [[re-lldb]] [[re-tracing]] [[re-memdump]] [[re-windbg]] [[re-binaryninja]] [[re-emulation]] [[re-shellcode]] [[re-kernel]] [[re-game]] [[re-go]] [[re-rust]] [[re-plugin-dev]] [[re-hypervisor]] [[re-anti-cheat]]、[[re-cpp-abi]]、[[re-swift]]、[[re-zig]]、 [[re-nim]]、[[re-fp-runti...

Binary Ninja 工作流：MLIL、脚本 API。触发词：Binary Ninja、binaryninja、bn、MLIL

EVM 智能合约逆向：字节码反编译、漏洞分析。 触发词：智能合约、EVM、Solidity、字节码、合约漏洞、ABI、Solana、Move、BPF

浏览器扩展逆向：权限清单、恶意行为定位、混淆还原、上架审查绕过面。 触发词：浏览器扩展、Chrome扩展、Firefox扩展、恶意扩展、extension。

现代主机与复古平台逆向：Switch NSO/NPDM 容器与加密分区、PS4/PS5 ORBIS 结构、SDK 库指纹；复古 ROM 头/卡带格式/存档与 Cheat 码。 触发词：主机逆向、Switch、NSO、NPDM、PS4、PS5、ORBIS、Xbox、复古、ROM、NES、GBA、模拟器、Cheat。

现代 C++ 二进制逆向：RTTI/异常/虚表恢复、ABI 识别、mangling 解码。 触发词：C++逆向、RTTI、虚表恢复、异常处理、C++ ABI、mangling、C++反编译。

软件破解网关。编排：带壳先脱壳 → 授权定位 → 补丁/注册机。 子技能：[[re-license]] [[re-patching]] [[re-keygen]] [[re-drm]]。 触发词：破解、crack、注册码、序列号、授权验证、绕过验证、打补丁、patch、keygen、注册机、授权绕过。

崩溃/漏洞样本分析：确定性复现、ASAN/UBSAN 报告解读、输入最小化 (afl-tmin/cmin)、gdb 回溯定位、rr 录制重放、PoC 产出。 触发词：崩溃、crash、ASAN、UAF、堆溢出、越界、段错误、segfault、 core dump、PoC、漏洞分析、崩溃分析。

加密数据还原：定位解密函数、写解密脚本。 触发词：解密、decrypt、还原数据、解密流量

加密算法识别：常量表指纹、自定义加密模式。 触发词：加密识别、AES、XOR、算法指纹、custom encryption

密钥与口令提取：硬编码、内存搜索、资源。 触发词：找密钥、硬编码、key extraction、口令

CTF 实践网关。编排：题型识别 → 简单题直接 [[re-binary-core]] → 需自动化 [[re-angr]]/[[re-z3]] → 混淆 [[re-deobfuscate]]。 子技能：[[re-angr]] [[re-z3]] [[re-pwn]]、[[re-stego]]。 触发词：CTF、赛题、逆向题、pwn、babyre、自动解题、符号执行、angr、z3、solver、找flag。

反混淆：花指令、控制流平坦化、字符串加密。触发词：反混淆、花指令、控制流平坦化、字符串解密、obfuscation

磁盘/文件系统取证：删除恢复、时间线、可疑文件定位。 触发词：磁盘取证、文件系统、删除恢复、时间线、ext4、NTFS

恶意文档分析：PDF/Office 武器化、宏链、文档漏洞利用、载荷提取。 触发词：恶意文档、钓鱼文档、PDF恶意、宏文档、docm、文档漏洞、恶意附件。

.NET CIL 逆向：dnSpy/ILSpy 反编译、de4dot 去混淆、ConfuserEx。触发词：.NET、dnSpy、ILSpy、de4dot、CIL、ConfuserEx

DRM 分析：PlayReady/Widevine 实现、许可证流程、解密器还原。 触发词：DRM、PlayReady、Widevine、许可证、内容保护

eBPF 程序逆向与对抗分析：BPF-64 指令集、progs/maps 关联、bpftool 反汇编、跟踪取证/恶意样本/EDR 对抗三用途。 触发词：eBPF、BPF、bpftool、bcc、libbpf、xlated、BPF 指令、bpf hook、EDR 对抗、tracepoint、kprobe。

Electron 桌面应用逆向：asar 解包、主/渲染进程 JS、V8 字节码（.jsc）边界、CDP 动态调试、反调试对抗。 触发词：Electron、asar、桌面应用逆向、.jsc、V8 快照、CDP、ELECTRON_RUN_AS_NODE、devtools 检测。

模拟执行：Unicorn/Qiling 框架。触发词：Unicorn、Qiling、模拟执行、emulate、无硬件运行

检测规避/EDR 对抗分析：AMSI/ETW 绕过、无文件、lolbin 链。 触发词：规避、evasion、AMSI、ETW、无文件、lolbin、EDR绕过

利用开发：ROP 链构造、堆利用。 触发词：ROP、堆利用、fastbin、tcache、利用开发、exploit

经验反馈元网关。三源收集（会话复盘/文章扫描/手动输入）→ 蒸馏脱敏 → 归域 → 三档处理（发表 issue/本地入库/不入库）。 触发词：反馈经验、经验入库、提交经验、经验复盘、心得沉淀、lessons learned。

无文件恶意软件：内存执行、持久化、PowerShell 链。 触发词：无文件、fileless、内存执行、PowerShell 无文件、注册表持久化

固件/嵌入式/硬件分析网关。编排：提取 → rootfs → 仿真 → 硬件接口。 子技能：[[re-fw-extract]] [[re-fw-rootfs]] [[re-fw-emulate]] [[re-hardware-io]] [[re-automotive]] [[re-uefi]] [[re-rtos]] [[re-tee]]。 触发词：固件分析、固件、IoT、解包固件、rootfs、仿真固件、firmware analysis。

Flutter/Dart AOT 逆向：libapp.so 快照分区解析、符号还原、Dart VM 动态分析。触发词：Flutter、Dart、libapp.so、AOT snapshot、kernel_blob、flutter_assets、Dart VM

内存取证/威胁情报网关。编排：转储来源 → 内存取证 → 线索提取 → 情报关联。 子技能：[[re-mem-forensics]] [[re-disk-forensics]] [[re-ti]]、[[re-attribution]]、[[re-hunting]]、[[re-mobile-forensics]]。 触发词：内存取证、memdump分析、威胁情报、样本背景、VirusTotal、MISP、forensics、threat intelligence。

ELF 格式解析：ehdr/phdr/shdr、GOT/PLT、init_array、符号恢复。 触发词：ELF、解析so、dynamic section

Mach-O 格式解析：mach_header、LC_*、segment、dyld 信息。 触发词：Mach-O、解析mac程序、dyld

PE 格式解析：DOS/NT 头、节表、导入导出、TLS 回调、Rich Header、证书表。 触发词：PE格式、解析exe、section表、Delphi、VB6、vmt、MSVBVM60、RTTI、老程序

函数式语言运行时逆向（Haskell/OCaml）：闭包/堆对象模型、调用约定、数据流优先策略。 触发词：Haskell逆向、OCaml逆向、GHC RTS、thunk、STG、OCaml runtime、闭包、函数式产物。

Frida 脚本生成方法论：目标特征 → 模板选择 → 改写 → 验证。独立于执行插桩（re-frida）。 触发词：生成Frida脚本、写hook脚本、frida脚本怎么写、写个hook、脚本生成。

Frida 动态插桩（桌面+移动统一）。 触发词：frida、hook、插桩、绕过、spawn

覆盖率引导模糊测试：AFL++/libFuzzer/honggfuzz、插桩与语料初始化、 afl-fuzz 运行参数、覆盖率(afl-cov)、字典/结构化输入。 触发词：fuzz、模糊测试、AFL、afl-fuzz、libFuzzer、honggfuzz、 覆盖率、corpus、语料、dictionary、挖洞、fuzzing。

固件仿真：QEMU 用户态/全系统。 触发词：仿真、QEMU、firmadyne、跑固件