用途：针对经授权的协议逆向任务，覆盖自定义 TCP/UDP 二进制协议、Protobuf/gRPC/FlatBuffers/MessagePack、WebSocket/MQTT/私有 RPC，以及 PCAP/PCAPNG 字段与状态机还原。
主要能力：按四阶段工作流推进。Phase 1 采集与分诊，拿到 PCAP、代理导出、客户端日志或二进制后标记方向、握手心跳、固定头/魔数/长度字段/TLV、是否压缩或加密；可用 tshark -r cap.pcap -T fields -e frame.number -e ip.src -e tcp.payload 抽取。Phase 2 帧布局还原，对齐同类消息找不变字节与自增序列号，确定长度字段端序与是否含头、CRC/HMAC 位置，并画连接、认证、就绪、请求响应、关闭的状态机。Phase 3 处理序列化与加密，Protobuf 可用 blackboxprotobuf、pbtk 或 protoc --decode_raw 恢复 .proto；gRPC 看 HTTP/2 headers 加 protobuf body；涉及密钥派生可联合 ida-reverse、js-reverse、apk-reverse。Phase 4 必须产出消息类型表（name/opcode/fields）、至少一条可复现的解码命令或脚本，以及脱敏的原始 hex 摘录与解码结果。
必要用法与限制：开始前先读 ../field-journal/precedent-reverse.md 确认授权与边界；auth 未 granted 禁止对目标 ACT，需用 ../scripts/case-init.ps1 完成 scope；缺失工具时先 bootstrap，tshark/Wireshark 可能需手动安装。仅 HTTP 参数签名或 JS 加密应转到 js-reverse；纯 TLS 证书问题转 pentest-tools 或浏览器代理；固件协议栈深挖加仿真先走 firmware-pentest。重放仅在授权范围内进行，先无害字段再敏感操作。
工具链：强烈建议 tshark/Wireshark 解析 PCAP，必需 Python3 编写解码脚本，可选 blackboxprotobuf、ImHex/010 Editor、IDA/r2/Ghidra。任务完成需自检是否还原了消息布局或状态机、是否有可复现解码命令、是否遵守 scope 与脱敏、是否回写 field-journal 与报告 Checklist。