用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在编排器已激活并确立沙箱假设、节点归属与证据优先级后使用；若尚未完成，应先回到 ctf-sandbox-orchestrator。适用于决定性证据存在于数据包顺序、协议分帧或流重建中，而非单一 IOC 或主机日志的场景。默认用简体中文回复，除非用户明确要求英文。
主要能力：先建立抓包边界（主机、时间跨度、接口、丢包、重传、流数量），再按会话分组流量，之后才解码载荷语义；记录协议分帧、序列、时序与传输产物，而非孤立数据包；在会话重建后再将数据包证据与主机、恶意软件或应用行为关联；复现能证明解题路径的最小解码流或传输产物。
使用方式：工作流分三步。一是构建会话地图，识别端点、协议、端口、TLS 握手、DNS 查询、WebSocket 升级与长连接流，标注抓包覆盖缺失、非对称路由、丢包或重组问题，区分控制通道、批量传输、保活与噪声。二是解码协议边界，先重组 TCP 流或 UDP 会话再解释字段，恢复分帧、消息顺序、自定义头、二进制字段、压缩、加密边界与对象传输，保持载荷方向、时序与会话状态对齐。三是将数据包与行为关联，说明哪段包序列对应主机事件、恶意分支、登录流程、上传、外泄步骤或命令通道；区分协议识别与产物恢复，仅命名 HTTP、DNS 或自定义 C2 而无解码内容或下游效果证明不算完成。若解码后主要变成主机时间线问题，应切换到更紧凑的取证时间线技能。
参考与替代：加载 references/pcap-protocol.md 获取会话清单、解码清单与证据打包。若难点是 WebSocket 或 SSE 握手、订阅流程、实时帧或帧驱动状态，优先使用 competition-websocket-runtime；若难点是自定义握手、分帧、校验和、序列依赖或确定性重放框架，优先使用 competition-custom-protocol-replay。
需保留内容：流 ID、端点对、包范围、时间戳、协议分帧与对象边界；解码后的请求、响应、命令、传输文件及其承载会话；证明挑战行为的精确包序列或重建流。
限制：资料未提供具体安装命令、收费方式、支持平台或效果数据，暂未提供。