用途：作为协议逆向的编排入口，把捕获、加密识别、密钥提取、解密、状态机重建串成一条工作流，每步产物记录证据路径与 sha256 供报告引用。
主要能力：按顺序调用子技能——捕获（re-netcap）、加密识别（re-crypto-id）、密钥提取（re-crypto-keys）、解密（re-crypto-decrypt）、协议恢复（re-proto-rev）；并覆盖工控（re-ics）、物联网（re-iot-proto）、TLS（re-tls）、白盒加密（re-whitebox）等分支。
使用方式：按输入特征选择路径。有流量先捕获，判断明文或密文；密文走识别→密钥→解密，得到明文后再重建状态机；明文可直接重建。工控协议（Modbus/DNP3/OPC UA，端口 502/20000/4840）转 re-ics；物联网协议（MQTT/CoAP/BLE/Zigbee）转 re-iot-proto；只有二进制样本时从静态找加密实现；仅需解密已知算法 blob 直接用 re-crypto-decrypt；仅找密钥用 re-crypto-keys。
适用场景：C2 通信分析、固件通信分析、行为分析后的协议层分析、IOC 产出、二进制深挖与 TLS 专项。
限制与注意：密文未解密不要进入状态机重建；明文流量跳过加密步骤；抓包前须做沙箱网络隔离（INetSim / fake DNS / 断网），并先写过滤表达式再存盘；解密结果须用已知明文或协议头验证；密钥动态生成时需参数化而非硬编码；DoH 会绕过网络隔离与内容分析，需转行为侧定位。协议还原优先声明式定义，其次反编译实现，最后抓包。具体命令与实现细节以各子技能资料为准，本资料未提供完整代码示例。