用途
该技能是一套 GitHub 安全研究方法论，目标是在本地知识库没有覆盖当前检测环境的免杀技术时，通过检索 GitHub 高星仓库、阅读分析代码，提取新的免杀 / Loader / C2 技术并入库。
完整的详细研究流程与命令位于 references/research-workflow.md。
主要能力
采用 5 步研究流程：
- GitHub 搜索 — 使用 gh search repos / gh search code
- 仓库分析 — 使用 gh repo view 并阅读关键文件
- 模式提取 — 按 6 大类分类
- 去重检查 — 查询已有知识库避免重复
- 入库保存 — 写入 evasion-techniques-db.json / loader-components-db.json
使用方式
提供 GitHub 搜索命令示例：
搜索仓库：
- gh search repos "shellcode loader language:C stars:>20" --limit 20
- gh search repos "AMSI bypass" --limit 15
- gh search repos "syscall direct" --language c --limit 15
搜索代码：
- gh search code "VirtualAlloc PAGE_EXECUTE_READWRITE" --language c --limit 30
- gh search code "NtCreateThreadEx" --language c --limit 20
6 大技术分类及对应搜索关键词：
- 内存分配：VirtualAlloc, HeapCreate, NtAllocateVirtualMemory, MappedFile
- 代码执行：CreateThread, EnumWindows, APC, Fiber, callback
- API 混淆：API hashing, PEB walk, dynamic resolve
- 字符串混淆：XOR, AES, stack strings, compile-time encryption
- 反分析：IsDebuggerPresent, anti-VM, sandbox detection
- Syscall：direct syscall, indirect syscall, SSN, Hell's Gate
去重规则：
- 完全同名：跳过（重复）
- 同技术不同名：跳过（重复）
- 同目标不同实现：添加（都有价值）
- 不同目标类似 API：添加（不同用途）
输出格式为研究报告，包含三部分：发现的技术（技术名、简述、复杂度 simple/medium/complex）、知识库状态（新增 X 条、重复跳过 Y 条、变体补充 Z 条）、参考链接（repository-url）。
适用场景
适用于安全研究场景：当已有知识库中没有针对当前检测环境的免杀技术时，先搜索 GitHub 高星仓库，分析代码后写入 evasion-techniques-db.json 或 loader-components-db.json。
限制
安装方式、具体依赖环境、支持的平台、收费情况等暂未提供。