用途：把密文（数据 blob、流量、配置段）还原成明文，并从样本中还原解密逻辑、重写为可复用的独立脚本，便于脱离样本批量解密。前提是算法与密钥已确认或已有候选；若两者都未知，应先做算法识别与密钥提取。
主要能力：定位真实密文边界（区分伪密文与压缩流，按格式规范解析而非裸 marker 搜索）；通过交叉引用密文输入点或 Crypt*/EVP_* 调用点定位解密函数；反编译还原算法、密钥与 IV 来源、模式与填充；用 Python + pycryptodome 重写脚本并参数化；用已知明文或可读性验证结果；从 pcap 提取载荷做批量流量解密。
使用方式：先验证工具（python3、pycryptodome，可选 angr），再按步骤执行——证伪密文、定位解密函数、反编译还原、重写脚本、已知明文验证、流量批量解密。示例：pip install pycryptodome；验证 python3 -c "from Crypto.Cipher import AES; print('ok')"。流量提取示例：tshark -r c2.pcap -Y 'tcp.payload' -T fields -e data.data | sed 's/://g' | xxd -r -p > payloads.bin。
适用场景：批量解密已知算法的密文、还原样本解密逻辑、解密 C2 或协议流量、固件加密层处理。
限制：算法或密钥未知时不能直接用；静态可读明文无需解密；运行样本应在沙箱内进行。常见陷阱包括脚本与样本边界条件不一致、解密逻辑在壳内、多轮解密链、key/iv 顺序错误、受限符号集实为编码、统计结果全平、像素级 XOR 与 ADD 秘密共享、分段分层加密、双重 AES 与加密字符串等，需逐层验证并保留中间产物。