用途：用于对未知二进制或脚本做逆向与检测，包括身份识别、加壳判定、能力映射、IOC 提取，以及判断是否值得引爆；从加壳/加密/混淆加载器中还原真实载荷；安全引爆并恢复无文件/内存痕迹；提取 C2、密钥、休眠抖动、活动 ID 等配置；在流量上检测 C2；编写低误报的 YARA-X 规则并支撑应急响应范围界定。
主要能力：静态分诊（哈希/imphash/Rich/ssdeep/TLSH、PE 异常、分节熵与加壳/RWX/入口点启发式、FLOSS 字符串恢复、capa 能力到 ATT&CK 映射）；脱壳与去混淆（Unicorn/unipacker/Speakeasy/Qiling 模拟、Frida DBI 钩子、x64dbg 到 OEP 与 Scylla、.NET 的 de4dot/dnSpyEx）；动态与内存（沙箱引爆、Volatility 3 注入/镂空/幽灵分析、AMSI/ETW 内存补丁与无补丁检测、WMI/注册表/PowerShell 无文件持久化）；配置与 C2 提取（Cobalt Strike、AdaptixC2、MACO/configextractor/CAPE 规模化、未知 C2 协议逆向）；网络检测（信标节奏与抖动、JA4+ 指纹、隧道/DoH C2）；YARA-X 规则编写与误报验证。
使用方式：按需运行脚本，例如 python3 scripts/triage.py sample.exe --floss --capa --yara rules/family.yar --json out/triage.json；capa -j sample.exe > out/capa.json；python3 scripts/auto_unpack.py sample.exe -o out/dumps/；frida -f C:\sample.exe -l scripts/frida_unpack.js --no-pause；de4dot sample.exe -o cleaned.exe；python3 scripts/mem_triage.py -f mem.raw --vol vol --patch-hunt --json out/mem.json；python3 scripts/cs_config_extract.py beacon.bin --json；python3 1768.py -S beacon.bin；configextractor sample.bin；python3 scripts/beacon_profiler.py capture.pcap --min-beacons 6；zeek -r capture.pcap LOCAL ja4 && zeek-cut ja4 ja4s ja4x < ja4.log；python3 scripts/yara_gen.py --family samples/fam/ --name Fam --goodware /usr/bin --out rules/fam.yar；yara-x fmt rules/fam.yar && yara-x scan rules/fam.yar /corpus/。
适用场景：恶意样本分诊、加载器与 RAT 链还原、内存取证、威胁情报配置提取、网络 C2 狩猎、检测规则工程与应急响应。
限制：DBI 与手动脱壳会引爆样本，须在隔离虚拟机、快照与 FakeNet 环境下进行，并先转储再修复；静态分诊为只读离线，模拟脱壳不引爆且无网络，建议作为首选；无补丁 AMSI/ETW 绕过可规避字节扫描，需关注 Dr0-Dr7；JA4X 需要代理处可见 TLS1.3 证书；YARA-X 规则部署前须在正常软件上验证零误报。具体环境依赖、版本与授权信息暂未提供。