patch-diff-exploit

用途：从厂商补丁（before/after 二进制）反推漏洞点、编写 PoC，并做成可用攻击模块，服务 N-day 武器化与 Patch Tuesday 跟进。主要能力：用 BinDiff/ghidriff/Diaphora 做函数级 diff，过滤中等匹配度函数，定位新增边界检查、加锁、字段清零、整数溢出检查、引用计数校验等变更，据补丁修复模式反查 bug class（整数溢出、竞争、UAF、越界读写、信息泄漏、权限校验缺失、IOCTL 收敛）。使用方式：拿 before/after 包（Windows 用 Microsoft Update Catalog 的 MSU/MSP 配合 expand.exe/dism，Linux 用 dpkg-deb/rpm2cpio）→对齐符号（PDB 或搬符）→二进制 diff（bindiff 或 ghidriff old new -o diff_out/）→过滤 similarity 0.6-0.95 的函数定位变更→写 PoC 并在 unpatched 验证崩溃、patched 不崩。工具含 BinDiff、ghidriff、Diaphora、Ghidra、IDA Pro、wsuspect-proxy；自举命令示例：powershell -NoProfile -ExecutionPolicy Bypass -File "<SKILL_ROOT>\skills\scripts\bootstrap-reverse.ps1" -Capability @('bindiff','ghidriff','ghidra','wsuspect-proxy') -StartServices。适用场景：有 CVE 无公开 PoC、红队打未更新资产、Linux LTS 旁支未 backport、闭源驱动/服务补丁还原。限制与注意：必须在授权范围内使用（SRC、Bug Bounty、自有靶机、CTF），对生产环境打 1-day 等同入侵；补丁可能只减小爆炸半径而非完整修复；变量重命名可能误导，应看控制流与数据流；补丁可能只加 mitigation；二进制 diff 跨编译器或优化等级会失真，应同编译器相邻版本对比；公开时需匿名化。相关详细命令与工作流资料提及 references/diff-tools-comparison.md、references/patch-tuesday-workflow.md、references/root-cause-and-poc.md，具体内容暂未提供。