Alice Reverse

---
name: alice-reverse
description: "逆向分析渐进路由（二进制 / 移动端 / 协议 / 取证 / 保护机制 / 运行时观测）。触发词：二进制/移动端/反编译/Frida/IDA/Ghidra/PE/ELF/APK/协议/取证；先选领域索引，再按任务匹配度与评分选模块，禁止一次读取全部领域。"
---

# 逆 · 逆向分析渐进路由

本路由管理 `125` 个模块。入口只负责选领域，模块索引分片到 `references/`，正文仍在 `../_modules/`。

## 加载规则

1. 先用一句话概括用户要达成的结果，再选最匹配的领域。
2. 每个阶段默认只读一个领域索引；任务明确跨领域时最多读两个。
3. 禁止为了了解全部能力而读完所有 `references/*.md`。
4. 领域内先按任务匹配度筛选，再用评分排序；高分不能覆盖领域不匹配。
5. 每阶段最多取 4 个模块，**可跨多个领域分别取**：本类正文需要其它类能力（如「破」的正文要用逆向分析）→ 直接去对应路由页取模块补足，不受单一子路由限制；**优先使用 MCP 工具执行电脑操作**——模块动作能由本页「可用 MCP 工具」完成的优先用 MCP，无匹配或失败再回退本地命令。
6. **说出参考的具体模块（任何阶段，硬性）**：选定/换用/补充任何参考模块的当下就向用户说出——`参考模块: <类>: <模块id>（<一句话用途>）`；禁止只执行不报名、禁止事后补报。
7. 模块不匹配或执行碰壁时，先在当前领域换模块；领域不对才回本页换领域。
8. 找不到合适模块时，使用模型自带知识规划，并向用户说明规划步骤、执行路径、成本与预计交付路径；不要为凑数读取无关领域。
9. 任何实际执行前，先向用户展示规划步骤、执行路径、预计成本（时间/算力/外部服务/人工投入）和预计交付物路径；用户已明确要求且风险可控时可直接开始，但仍要给出简短预览。
10. 每项交付完成后，先在工作区写 Markdown 交付记录，包含目标、决策依据、实际步骤、证据、验证结果、产物路径和未解决项，再向用户汇报；不记录隐藏思维链。

## 领域索引

| 领域 | 何时读取 | 模块数 | 索引 |
|:--|:--|--:|:--|
| 原生与托管二进制 | PE、ELF、SO、DLL、EXE、.NET、反汇编、函数、导入表、字符串与交叉引用 | 10 | `references/native-binary.md` |
| 移动端与 IL2CPP | APK、IPA、Android、iOS、JNI、Frida/Objection、证书锁定、Root/模拟器与 Unity IL2CPP | 11 | `references/mobile.md` |
| 协议、API 与 Web 运行时 | TCP/UDP、自定义协议、API 签名、HAR、JavaScript、WebCrypto、WebSocket/gRPC 与流量还原 | 15 | `references/protocol-web.md` |
| 取证与恶意样本分析 | EVTX、PCAP、内存镜像、时间线、IOC、恶意样本配置、加密行为与媒体隐写 | 15 | `references/forensics-malware.md` |
| 保护、混淆与脱壳 | 加壳、OEP/IAT、OLLVM、虚拟化保护、反调试、自修改代码与运行时重建 | 20 | `references/protection-unpacking.md` |
| 运行时观测与补丁 | Hook、断点、Frida 追踪、参数观测、字节补丁、跳转修改与系统调用关联 | 15 | `references/instrumentation-patching.md` |
| 固件、内核与驱动 | 固件镜像、分区/启动链、Binwalk、Windows/Linux/macOS 内核与驱动 | 7 | `references/firmware-kernel.md` |
| 高级安全研究 | 漏洞机理、Pwn/ROP、模糊测试、密码强度验证与防御控制研究；只有任务明确命中时读取 | 7 | `references/advanced-security.md` |
| 综合流程与工具 | 任务编排、工具准备、环境隔离、IDA/Ghidra RPC、研究严谨性与综合逆向方法 | 25 | `references/workflow-tooling.md` |

## 评分机制

- 评分唯一来源是 `../_modules/skill_ratings.json`；索引显示 `【x/10】`。
- 选择顺序固定为：**任务匹配度 → 评分 → 索引顺序**；无评分模块仍可用。
- 不得为比较分数加载无关领域；批量评分一次处理一个领域索引。
- 修改评分后重跑 `../aliceskill/scripts/rebuild_menu.py`，不要手改生成的索引。

## 读取具体模块

选定模块后完整读取 `../_modules/<MODULE_ID>/SKILL.md`；取不到正文时如实报告，不得声称已按该模块执行。
同一任务已读取的模块直接复用；换领域或新任务才重新路由。
**任何阶段**选定/换用/补充参考模块，必须当场说出 `参考模块: <类>: <模块id>（<用途>）`，禁止只执行不报名。