Claude Skills by dslsdzc

固件提取与解包：binwalk/unblob、magic 扫描、字节序。 触发词：固件、binwalk、解包固件、firmware、IoT、MCU、8051、AVR、PIC、MSP430、Intel HEX、.hex

固件文件系统分析：rootfs、配置、密钥、启动脚本。 触发词：rootfs、文件系统分析、squashfs、cramfs、配置文件

游戏逆向：Unity/Unreal、Cheat Engine、Lua 脚本引擎、图形 Shader。触发词：游戏逆向、Unity、Unreal、Cheat Engine、内存修改、反作弊、Lua、LuaJIT、.luac、.jsc、脚本引擎、Shader、着色器、SPIR-V、DXIL、DXBC、GLSL

GDB/pwndbg/gef 调试：attach、断点、内存读写。 触发词：gdb、调试、pwndbg、attach

Ghidra 工作流：导入→自动分析→反编译→脚本化。 触发词：Ghidra、反编译、headless

Go 二进制逆向：符号保留、字符串表、goroutine。触发词：Go、golang、Go二进制、goroutine、go build

硬件接口：JTAG/UART/flash 读取。 触发词：JTAG、UART、串口、flash芯片、硬件提取、逻辑分析仪

鸿蒙（HarmonyOS）应用逆向：hap/hsp/har 包结构、ArkTS 字节码（.abc、ArkCompiler）分析。 触发词：鸿蒙、HarmonyOS、hap、ArkTS、abc 字节码、方舟编译器

威胁狩猎方法论：假设驱动、遥测源选择、基线对比与验证闭环。 触发词：威胁狩猎、狩猎、hunting、假设驱动、遥测分析、异常检测。

物理层硬件逆向：去封装、裸片分析、探针与 FIB、PCB 电路分析、硬件木马检测。 触发词：芯片逆向、去封装、decapping、PCB、硬件木马、电路分析、裸片、FIB、侧信道、SPA、DPA、故障注入、时钟毛刺、电压毛刺。

Flutter/React Native 混合应用逆向。 触发词：Flutter、React Native、混合应用、dart、libapp.so、Hermes、Hermes 字节码、hbc、RN bundle、index.android.bundle、NativeModules、TurboModule、Metro

虚拟化逆向：VT-x/SVM、hypervisor 检测、VMCS/EPT 分析， 以及 Xen / QNX Hypervisor / Jailhouse / ACRN / Bao / Hyper-V·VMBus / XtratuM / LynxSecure / Quest-V 的分区与 vdev 语义。 触发词：hypervisor、VT-x、SVM、虚拟化检测、EPT、Xen、grant table、event channel、 Jailhouse、cell、ACRN、ivshmem、Bao、shmem_id、vdev、GPA/HPA、 Hyper-V、VMBus、VSC、VSP、GPADL、SR-IOV、XtratuM、XM_CF、LynxSecure、Quest-V、sandbox kernel

工控协议逆向：Modbus/DNP3/OPC UA。 触发词：工控、ICS、Modbus、DNP3、OPC UA、SCADA、PLC

IDA 工作流：导入→FLIRT→Hex-Rays→idapython。 触发词：IDA、Hex-Rays、idapython

导入导出表与库指纹：IAT/EAT、DLL/so 指纹、FLIRT 思路。 触发词：导入表、IAT、库指纹、链接了哪些库

IOC 提取与 YARA 规则、报告结构。 触发词：IOC、YARA、写规则、分析报告、hash列表

iOS 越狱逆向环境：越狱检测识别与绕过、tweak 分析与开发。 触发词：越狱、jailbreak、tweak、Theos、LLDB 远程

iOS 应用分析：Mach-O、class-dump、越狱环境。 触发词：ios逆向、ipa、class-dump、越狱

物联网协议：MQTT/CoAP/BLE/Zigbee；BLE 链路层（广播解析/配对加密）与 NFC/智能卡（ISO14443/APDU/MIFARE）。 触发词：MQTT、CoAP、BLE、Zigbee、物联网协议、IoT协议、BLE链路、BLE嗅探、广播解析、配对加密、GATT、NFC、智能卡、MIFARE、APDU、ISO14443

Java 字节码逆向：CFR/JD-GUI、jar 解包、Java 加固。触发词：Java、jar、字节码、JD-GUI、CFR、class文件

Java Card / SIM 卡 applet 逆向：CAP 文件组件解析（规范 12 组件）、CAP 字节码（Java 子集）还原、AID 与安装参数、process(APDU) 分派。 触发词：Java Card、javacard、CAP 文件、SIM 卡、USIM、applet、AID、银行卡、JCVM。

内核逆向（跨平台）：Windows 驱动（.sys/IRP/SSDT）、Linux 内核模块（.ko/ET_REL/LKM/rootkit）、 macOS KEXT 与 System Extension/DriverKit、Android GKI/vendor module、seL4（capability 系统）、 Fuchsia/Zircon（handle 模型 + DFv2 用户态驱动框架）、FreeBSD（linker sets/SYSINIT/KLD）、 illumos/Solaris（DDI/DKI、dev_ops/cb_ops）、OpenBSD（KARL/autoconf/pledge）、NetBSD（模块按需自动加载）、 Genode（组件树/session/quota）、MINIX 3（RS 自愈/grants/live update）、Plan 9（命名空间/9P）、 HelenOS（fibril/DDF）、Redox（scheme）、Haiku（device_node/按需发现）、 z/OS（TCB·SRB/cross-memory）、IBM i（单一存储层）...

注册机算法还原。触发词：注册机、keygen、算法还原、序列号生成

授权验证逻辑分析：注册校验定位。触发词：注册码、授权验证、license、序列号校验、破解定位

lldb 调试（macOS/iOS）：attach、expr、image。 触发词：lldb、macOS调试、iOS调试

加载器/投放器分析：多层下载、内存加载、模块拼接。 触发词：加载器、loader、dropper、投放器、内存加载、模块拼接

macOS 原生应用逆向：App Bundle/签名公证、entitlements、沙箱与 TCC、钥匙串与 Secure Enclave。 触发词：macOS逆向、mac app、entitlements、Secure Enclave、钥匙串、TCC、codesign、公证。

恶意软件分析网关。编排：默认沙箱 → 静态初勘 → 行为分析 → C2/协议 → IOC/报告。 子技能：[[re-sandbox]] [[re-behavior]] [[re-ioc]] [[re-ransomware]] [[re-loader]] [[re-fileless]]、[[re-doc-malware]]、[[re-sample-acquire]]。 触发词：恶意软件、样本行为、回连、C2、IOC、malware analysis。

托管代码逆向网关。编排：识别运行时 → 反编译 → 去混淆 → 恶意场景转 [[re-malware]]。 子技能：[[re-dotnet]] [[re-java]] [[re-script-deob]] [[re-wasm]] [[re-ai-triage]] → [[re-ai-model]] [[re-blockchain]] [[re-python]]、[[re-browser-ext]]、[[re-electron]]、[[re-javacard]]。 触发词：.NET、dnSpy、ILSpy、Java、jar、字节码、PowerShell混淆、VBA宏、JS去混淆、托管代码、managed code。

Volatility 3 内存取证：进程/内核对象/网络/凭据线索。 触发词：内存取证、Volatility、memdump分析、进程列表、mimikatz线索

内存转储与提取：默认转储优先(gcore)，直读特例。 触发词：内存转储、dump内存、找密钥、DEX提取

MIPS 架构逆向与路由器固件分析方法论：延迟槽、$gp 调用约定、大小端判断、httpd 定位。 触发词：MIPS、mipsel、路由器固件、嵌入式、延迟槽、big-endian、大端、小端、httpd、busybox

移动设备取证：Android/iOS 备份解析、应用数据提取、删除恢复与时间线。 触发词：移动取证、手机取证、ADB备份、iTunes备份、手机数据提取。

Android 加固脱壳专项：乐固/360/梆梆/爱加密、DEX 恢复。 触发词：脱壳、Android加固、DEX脱壳、乐固、梆梆、360加固、爱加密

移动应用分析网关。编排：APK 静态 → iOS → 动态 Frida → 原生库。 子技能：[[re-apk]] [[re-ios]] [[re-frida]] [[re-frida-script-author]] [[re-mobile-pack]] [[re-hybrid-app]] [[re-android-native]] [[re-android-crypto]] [[re-ios-jb]] [[re-flutter]] [[re-harmonyos]]。

网络流量捕获：tcpdump/Wireshark/抓包。 触发词：抓包、tcpdump、wireshark、流量分析、pcap

Nim 编译产物逆向：运行时识别、NimString 结构、异常与 GC 路径。 触发词：Nim逆向、nim、NimString、NimMain、nim 产物。

壳与混淆器识别：签名/节名/EP/熵。触发词：查壳、加壳识别、packer、壳名、UPX

补丁制作：字节级 patch、指令重写。触发词：打补丁、patch、修改跳转、绕过验证、crack

Ghidra/IDA 插件开发：脚本→插件工程化。 触发词：插件开发、Ghidra插件、IDA插件、插件工程

协议状态机重建：Scapy 解析、消息结构。 触发词：协议逆向、状态机、scapy、自定义协议

协议逆向网关。编排：捕获 → 加密识别 → 密钥 → 解密 → 状态机重建。 子技能：[[re-netcap]] [[re-crypto-id]] [[re-crypto-keys]] [[re-crypto-decrypt]] [[re-proto-rev]] [[re-ics]] [[re-iot-proto]] [[re-whitebox]] [[re-tls]]。 触发词：协议逆向、抓包、流量分析、解密流量、C2协议、自定义协议、protocol analysis。

CTF pwn 入门：栈溢出、格式化字符串、ret2libc。 触发词：pwn、栈溢出、格式化字符串、ret2libc、ROP、shellcode 注入

Python 打包/混淆样本分析：PyInstaller/PyArmor/Nuitka/Cython 解包、pyc 版本识别与反编译。 触发词：Python打包、PyInstaller、PyArmor、pyc、python exe、Python 样本、打包样本。

rizin/radare2 工作流：命令行分析、pdf、V 模式。 触发词：radare2、rizin、rz、r2

勒索软件分析：加密识别、勒索信、解密恢复思路。 触发词：勒索、ransomware、加密文件、勒索信、解密恢复

RISC-V 架构逆向：RV32/RV64、压缩指令（RVC）、gp 相对寻址、ABI 与 ecall 系统调用约定、工具链指纹。 触发词：RISC-V、riscv、RV32、RV64、RVC、压缩指令、ecall、ESP32-C3、GD32V。

RTOS 结构分析：FreeRTOS/ThreadX/Zephyr/RT-Thread/VxWorks/QNX/RTEMS/NuttX/eCos/µC-OS/SYS-BIOS/SAFERTOS/CMSIS-RTX5/T-Kernel/TOPPERS/OSE/INTEGRITY/ARINC 653/PikeOS/Deos 运行模型判定、任务表与 TCB 定位、内核对象还原、按任务拆分反编译。触发词：RTOS、FreeRTOS、ThreadX、Zephyr、VxWorks、QNX、RTEMS、NuttX、eCos、µC/OS、Micrium、SYS/BIOS、SAFERTOS、CMSIS-RTX5、T-Kernel、TOPPERS、ITRON、OSE、OSEck、Nucleus、INTEGRITY、ARINC 653、PikeOS、VxWorks 653、Deos、任务表、TCB、固件调度、MCU 固件、confdefs、devicetree、DKM、resource manager、FromISR、DSR、OSIntEnter、Swi、Hwi、module preamble、upp...

Rust 二进制逆向：符号、monomorphization、所有权模式。触发词：Rust、rust、Rust二进制、cargo

样本现场采集（从现象到可用样本）：目标没有独立进程、样本不落盘时，以「异常执行内存 + 到达该内存的执行上下文」为核心定位载体并运行时提取。 覆盖四种观测模型：Windows（VAD/线程/ETW）、Linux（VMA/BPF LSM）、macOS（Mach VM/Endpoint Security）、seL4（capability provenance）。 触发词：样本获取、现场采集、没有样本、只有现象、不落盘、无文件、注入、内存马、运行时捕获、内存提取样本。 English triggers: sample acquisition, live acquisition, no sample, fileless, injected code, memory-resident, runtime capture.