用途：面向带壳或混淆的二进制样本，提供从壳识别到脱壳、反混淆的编排流程，并汇总反调试与反虚拟化检测的排查方法论。
主要能力：壳识别（DIE/PEiD 签名、节名异常、入口点、熵、导入表）；简单压缩壳脱壳（UPX/ASPack/FSG，官方解包、ESP 定律、内存断点找 OEP、IAT 修复）；强壳/虚拟化壳脱壳（VMProtect/Themida，反调试对抗、堆栈回溯、转储、IAT 修复、虚拟化区域标注）；反混淆（花指令清除、控制流平坦化还原、字符串解密）。另含反调试方法论（PEB、NtQueryInformationProcess、时间检测、硬件断点、TLS Callback、自修改代码等）与反虚拟化方法论（CPUID hypervisor 位、注册表固件信息、时间差、硬件枚举、VMware 通道、环境评分）。
使用方式：先识别再选路径，识别不出走手动流程；简单壳用 upx -d 等自动解包，强壳先做反调试对抗；脱壳后修复 IAT 并重新反编译验证；产物存档 sha256 并在沙箱复跑。
适用场景：恶意样本加壳分析、破解前置脱壳、移动加固脱壳、静态发现壳后转入。
限制：具体命令、工具版本与平台细节以各子技能为准；部分内容暂未提供。