用途：刚拿到未知样本时的第一步勘察，判断文件真实类型与架构、做哈希存证、评估是否加壳或加密，并决定后续走哪条分析路径。已确定文件类型只需深挖结构、或样本已确认带壳需直接脱壳时，不适用本技能。
主要能力：用 file 判定格式与架构，用 objdump/readelf 交叉验证头信息；用 sha256sum/md5sum 做哈希存证；用 strings 提取 URL、路径、flag/key/secret、错误消息及 Go/Rust 运行时特征；用 ent 或 Python 脚本计算熵值；用 readelf 检查 PIE、NX、RELRO、canary 等安全特性并识别编译器特征。
使用方式：按顺序执行并记录每步结果。先 file sample.bin 判定格式，再 objdump -f sample.bin 交叉验证；分析前先 sha256sum sample.bin > sample.sha256 存证；strings -n 6 sample.bin | head -100 提取关键串，UTF-16 用 strings -e l；ent sample.bin 或 Python 脚本算熵。带壳样本脱壳前需记录 SHA256、PE timestamp、EP RVA、section hash、import table 五件套基线。最终按分析契约输出结构化摘要，含 target_id、sha256、evidence、findings、unverified 及 arch、format、entropy、sections、imports_exports、strings_refs、安全特性等字段。
适用场景：二进制核心工作流第 2 步固定调用；恶意软件、固件、移动、CTF 等各网关接手样本的第一步初勘；结论决定后续格式技能选择，是全部动态分析前的强制前置。
限制与陷阱：熵高不等于必然加壳，压缩数据熵同样可超 7，需结合节名与导入表判断；中文串常为 GBK 或 UTF-16LE，默认 strings 会乱码或丢失；任何分析前先做哈希存证，动态执行会污染样本；大文件 strings 全量输出可达数百 MB，需先设最小长度并截断；工具报错不等于文件损坏，可能是对抗样本伪造头字段，需用 xxd 手工核对关键头字段；脱壳前不记基线将无法对照成败；字符串可见不等于答案，诱饵 flag 常放在 DOS stub、资源段等显眼位置，必须交叉验证。涉及运行一律在沙箱内进行。