用途：还原无文件载荷的入口、下载、解码、注入与持久化执行链，适用于样本不落盘、杀软或 EDR 仅有行为与网络告警的分析。有落盘样本的常规行为分析、纯脚本静态解码、仅分析载荷本体而不关心执行链的场景不适用。
主要能力：动态执行跟踪（procmon/strace）、内存转储（gcore/procdump）、PowerShell 脚本解码（pwsh）、Sysinternals 套件（procmon、Process Explorer、autoruns、procdump）、Windows 内置命令（reg query、schtasks、Get-WinEvent、netstat）、可选的 Sysmon 事件 1/3；Linux/macOS 侧可用 ps、systemctl list-timers、crontab、/proc/<pid>/maps 按同一执行链还原框架套用。
必要用法：全部运行步骤须在沙箱内先行隔离（VM 快照加网络隔离），运行前先做基线内存转储、开启 PowerShell 4104 日志并全量记录进程与注册表；按入口到下载器到解码到注入到持久化的顺序逐步还原命令行与 URL，注册表与计划任务需全量导出比对隐藏项，内存载荷提取时机选在注入之后、执行之前。
适用场景：无文件载荷执行链还原、注册表运行键与计划任务持久化定位、内存脚本载荷提取、行为侧交叉验证与 ATT&CK 映射。
限制：技能以 Windows 为主，Linux/macOS 对应物按同一框架套用；载荷执行完即释放，错过转储时机可能无法取得完整载荷；多层混淆需逐层解码；沙箱内 AV/EDR 内存扫描或 AMSI 可能清除载荷导致观察不全。具体安装命令与验证方法见资料原文，未提供的细节暂未提供。