用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在编排器已激活并确定沙箱假设、节点归属与证据优先级后使用；否则应先回到 $ctf-sandbox-orchestrator。适用于以二进制为核心、关键路径依赖产物、解码层、进程行为、崩溃状态或利用原语的挑战。默认用简体中文回复，除非用户明确要求英文。
主要能力与流程：先保留原始产物，再进行解包、补丁或插桩；从被动分诊入手，检查类型、头部、节区、导入表、字符串、熵与资源；判断路径属于逆向优先、DFIR 优先还是利用优先；每条结论都要绑定可观测边界，如解码边界、持久化边界、崩溃边界或泄漏边界；从干净基线复现产物或原语。逆向或取证分诊时，分离加载器、载荷、配置与解码后行为，把文件、内存、日志、注册表、服务、任务、IPC 与 PCAP 作为同一张图关联，解码或转储产物与原始样本分开保存。原生与利用路径需梳理缓解措施、加载器行为、libc 或运行时、系统调用与 IPC 面、协议分帧，分别记录原语、可控字节、泄漏来源、目标对象与最终产物；在怀疑原语前先比较主机、libc、加载器与分帧差异。
参考与分工：加载 references/reverse-pwn.md 获取分诊顺序、利用证据预期与常见失败模式。若任务聚焦分阶段载荷边界、配置块、信标参数或解码 IOC 字段，优先 $competition-malware-config；固件分区、引导链、提取文件系统或更新包信任边界用 $competition-firmware-layout；上传解析、预览、归档解压、转换器或反序列化链用 $competition-file-parser-chain；source map、产物 bundle、chunk 注册表或从前端资源重建隐藏运行时结构用 $competition-bundle-sourcemap-recovery；容器到主机边界穿越、内核利用前提、命名空间或 cgroup 交叉、逃逸原语验证用 $competition-kernel-container-escape；从抓包重建协议、流或传输产物用 $competition-pcap-protocol；自定义二进制或文本协议中重放状态、消息顺序或校验逻辑为真正阻塞点用 $competition-custom-protocol-replay；跨 EVTX、PCAP、注册表、邮件或磁盘产物重建时间线用 $competition-forensic-timeline。
需保留内容：偏移、哈希、节区名、导入表、配置块、互斥体、注册表键；崩溃偏移、寄存器、堆栈形态、泄漏地址与协议步骤；原始、解码、转储与插桩产物应作为独立文件保存。限制：资料未提供具体安装命令、收费方式、平台支持与效果保证。