用途：拿到未知样本时先确认是否加壳、确定壳名，以选择脱壳路径；静态初勘发现熵高、节名异常或导入表极小时进一步确认；动态分析前区分行为来自壳还是程序。若目标已干净或已知确切壳名，可跳过本步骤。识别不出不等于无壳，签名库不全或小众壳需用特征组合判断，必要时按未知壳走手动流程。
主要能力：用 Detect It Easy（DIE，跨平台主力，CLI 为 diec）或 PEiD（Windows）扫描签名库，得到壳名或可疑特征；用 file/strings 收集初步特征；用 objdump 检查节名与 EP 指向；用 ent、binwalk -E 或 python3 计算熵（>7 bits/byte 可疑）；用 pefile 脚本查 EP 所在节；用 objdump 看导入表，加壳样本常只导入少量 API。
使用方式：按顺序执行，每步记录证据路径与 sha256。先 file sample.exe、sha256sum sample.exe、strings -n 6 sample.exe | head -30；再 diec sample.exe 扫签名；objdump -h 查节名；objdump -f 或 pefile 判断 EP 是否非首节；ent 或 binwalk -E 判断熵；objdump -p 看导入表；记录 EP 附近指令与地址作为 OEP 线索。
适用场景与限制：适用于二进制逆向初勘、恶意样本加壳判断、移动端加固类别确认等。局限包括：签名库不全可能漏新壳；节名可被伪装，需交叉验证；壳套壳需脱一层重识别一层；识别出壳名不代表虚拟化或反调试配置已启用，需结合版本与位数线索决定脱壳分支；自动化脱壳工具对版本与位数敏感，选工具前应核对支持矩阵。具体价格、平台与效果等资料暂未提供。