用途
该技能用于帮助初学者安全地分析未知二进制文件、可执行文件、DLL、恶意软件样本、固件镜像以及经过混淆或加壳的代码。目标是在没有源代码的情况下理解程序行为，或判断可疑文件的性质。适用触发场景包括：用户提供可疑文件并询问其功能、需要在不运行程序的情况下了解程序逻辑、涉及反汇编/反编译/调试/恶意软件/固件/混淆/脱壳等话题，或需要选择逆向工具及解读工具输出。
主要能力
技能提供了一套分阶段的工作流：
- 分诊：识别文件类型、架构、加壳和熵值。附带的
triage.py脚本（只读、纯 Python、无依赖）可报告哈希、熵、格式（PE/ELF/Mach-O）、节区、加壳提示、可能的反分析指标以及提取的字符串。 - 静态分析：在不执行样本的情况下读取字符串、头部、导入表、导出表、元数据、资源和签名。
- 反汇编/反编译：将机器码转换为可读形式，并提供了工具选型建议（Ghidra、IDA Free、radare2/Cutter、Binary Ninja、x64dbg、GDB + gef/pwndbg 等）。
- 动态分析：在满足强制安全门禁后，在受控环境中运行或模拟样本并观察行为。
- 行为分析：记录网络、文件系统、注册表、进程或设备活动，并收集 IOC。
- 报告：使用附带的报告模板总结发现，包括 IOC、MITRE ATT&CK 映射和建议。
技能还附带多个参考文档，按任务领域加载：Windows PE 分析、Linux ELF 分析、恶意软件分析、固件/IoT 分析、命令速查表、静态分析示例和动态分析示例。
使用方式
- 对任何未知文件，首先运行分诊脚本（只读）：
python "${CLAUDE_SKILL_DIR}/scripts/triage.py" <sample>。如果环境变量未设置，则从技能目录运行。脚本输出可作为下一步决策的依据，但所有启发式结果都需在后续阶段验证，不能直接作为恶意行为的证据。 - 根据任务匹配的领域加载相应参考文档，例如分析 Windows PE 时加载
references/windows-pe.md，分析固件时加载references/firmware-iot.md。 - 按照六阶段流程推进，不适用阶段需说明跳过原因。固件/IoT 作为条件性领域轨道，在六阶段框架内应用其获取、提取、架构、模拟和硬件指导。
- 选择工具时从最低复杂度开始，仅在证据需要时深入。初学者默认不应进行手动脱壳或 IAT 修复。
- 提供命令或执行任何会启动样本、继续调试器、单步执行脱壳存根、模拟固件或连接真实硬件的操作前，必须与用户逐项确认强制安全门禁：使用专用一次性分析 VM/沙箱且禁用共享文件夹/剪贴板/拖放/主机凭据集成；存在干净快照可恢复；网络禁用或仅连接隔离的假网；监控工具已安装并启动；环境中无生产凭据、个人数据、令牌或受信任设备；物理固件工作需获得授权并隔离于受信任网络。若任一适用项未确认，应停留在前三个阶段，仅提供只读分诊、静态分析或反汇编。
- 执行前用 SHA-256 标识文件；哈希查询是只读的，但将样本上传至公共分析服务需用户许可，因为文件可能因此公开。
适用场景
- 分析 Windows PE 文件（.exe、.dll、.sys）的头部、导入表、加壳和手动脱壳。
- 分析 Linux/Unix ELF 二进制文件的头部、符号、GDB 工作流和反分析技术。
- 对可能恶意的样本进行实验室设置、脱壳策略、MITRE 映射行为和 YARA 规则分析。
- 固件镜像或嵌入式设备的 binwalk 提取、模拟、UART/JTAG 分析。
- 需要具体命令时查阅 x64dbg、GDB、radare2、Ghidra、WinDbg 的快捷参考。
- 初学者需要完整的静态分析或隔离动态分析示例。
- 撰写最终分析报告时使用报告模板。
限制
- 所有启发式结果（如高熵、加壳节区名、可疑字符串）只是线索，需在后续阶段验证，不能直接证明恶意行为，也可能出现在合法软件中。
- 动态分析和调试必须在满足强制安全门禁的隔离环境中进行，否则只能进行只读分诊、静态分析或反汇编。
- 技能不提供任何关于收费、价格或特定平台的效果保证；具体工具的功能和可用性以各自官方文档为准。
- 固件/IoT 分析是条件性领域轨道，并非独立于六阶段的第七阶段。
- 关于样本上传至公共服务的限制：需用户明确许可。
- 技能文档未提供所有工具的具体安装步骤或版本要求，部分细节需参考各工具官方资源。