用途：对未知编译二进制（ELF/PE/Mach-O）或固件进行逆向分析，用于漏洞挖掘、能力评估、专有代码结构恢复、协议与文件格式推断等。
主要能力：静态分诊（格式、架构、缓解措施、字符串、导入、加壳熵值）与无头反编译（Ghidra 11.4、r2、IDA）；动态调试（GDB/GEF、x64dbg、条件断点）与 Frida 17 插桩（SSL 解绑、JNI 钩子）；符号/混合执行（angr、Triton）；反调试与反虚拟机绕过、脱壳取 OEP；字符串与 API 哈希去混淆（Unicorn 模拟）、OLLVM 控制流平坦化还原、VMProtect 3.x/Themida 去虚拟化；固件提取（binwalk/squashfs/QEMU）与 UEFI/BIOS 逆向、Secure Boot 绕过研究；补丁差分定位 n-day 根因（BinDiff/Diaphora/ghidriff）；未知协议与文件格式推断（Netzob/Kaitai）。
使用方式：通过 scripts 目录下的脚本调用，例如 python3 scripts/triage.py ./sample -o out/triage.json 做分诊，加 --decompile --ghidra "$GHIDRA_HOME" 做无头反编译；frida -U -f com.target.app -l scripts/frida_universal.js --no-pause 做动态插桩；python3 scripts/antidebug_unhook.py --scan ./sample 枚举反调试原语；python3 scripts/string_decrypt_emu.py 与 scripts/deflatten_triton.py 做去混淆；python3 scripts/uefi_triage.py firmware.bin 做固件分诊；python3 scripts/patchdiff_fetch.py 获取补丁前后二进制做差分；python3 scripts/proto_infer.py capture.pcap 推断协议。
适用场景：恶意样本分析、漏洞根因定位、固件与 UEFI 安全研究、协议逆向与模糊测试准备。
限制：资料未提供具体授权范围、价格与平台支持细节；静态分析建议在隔离快照虚拟机中进行，固件与 Secure Boot 相关操作需物理或授权环境，补丁差分使用公开二进制，n-day 验证应留在实验环境。