用途：在逆向工程中拿到密文（流量或数据 blob）不确定算法时，或样本含加密实现需在反编译前锁定算法范围时使用；也用于怀疑自定义加密（XOR/ROL/ROR）而非标准算法。算法已知或标准库 API 清晰可见时不适用。
主要能力：一是常量表指纹，在静态数据段搜索 AES S-box、CRC32 表、MD5 IV 等特征常量，命中即给出算法候选；二是熵分析，按 4096 字节分块计算熵，定位高熵密文/压缩区域；三是单字节 XOR/ROL/ROR 模式检测，通过可打印率判断简单变换；四是常见算法流程特征识别，如 AES 轮数、DES 置换表、RC4 KSA/PRGA 循环；五是可选动态确认，用 Frida hook 可疑加密函数观察入参与返回。
使用方式：以静态/离线分析为主，工具包括 python3、binutils（strings/objdump）、hexdump，可选 Detect It Easy。按顺序执行常量表指纹、熵分析、XOR 检测、流程特征、动态确认，每步记录结果，判定产物（算法假设加证据）传给下游找密钥与解密环节。动态确认需在沙箱内针对已运行样本进行。
适用场景：协议流量加密识别、恶意样本 C2 通信加密识别、固件加密层判断，以及反编译佐证。
限制与注意：动态生成常量表会使静态指纹失效；多层加密需分层识别；高熵区可能是压缩而非加密，需先看压缩格式标识；只搜 S-box 会漏掉位切片等变体实现，可补充搜 Rcon 序列与乘法表；指纹命中不等于加密函数在用，需 xref 确认表被引用；加壳样本应先脱壳再做指纹。密文长度只能辅助判断 mode，不能区分 primitive。