用途
该技能面向逆向工程任务，用于在理解编译后、混淆、加壳或虚拟化的目标程序工作原理之前提供系统化的分析技术与参考资料。其适用场景包括本地 CTF 题目、本地实验、crackme、wargame、培训目标或沙盒逆向练习等。技能默认假设用户的工作环境是本地、隔离且已授权的沙盒，除非有明确证据表明并非如此。
主要能力
技能内容围绕多条分析路线组织：
- 工具准备：跨平台的 Python 包安装（frida-tools、angr、qiling、uncompyle6、capstone、lief、z3-solver 等），Linux 使用 apt 安装 gdb、radare2、binutils、strace、ltrace、apktool、upx，macOS 使用 Homebrew 安装 gdb、radare2、binutils、apktool、upx、ghidra，并提供 radare2 插件（r2pm -ci r2ghidra）与手动安装项（pwndbg）。
- 静态与动态分析工具参考：包括 GDB、Ghidra、radare2、IDA、Binary Ninja、dogbolt.org，以及 Frida、angr、lldb、x64dbg、Qiling、Triton 等。
- 进阶工具：VMProtect/Themida 分析、二进制差分（BinDiff、Diaphora）、反混淆框架（D-810、GOOMBA、Miasm）、Rizin/Cutter、RetDec、自定义 VM 字节码提升至 LLVM IR、GDB 高级用法、Ghidra 脚本与补丁（Binary Ninja API、LIEF）。
- 反分析对抗：Linux 与 Windows 反调试、反虚拟机/沙盒、反 DBI（Frida 检测与绕过）、代码完整性/自哈希、反反汇编（不透明谓词、垃圾字节）、MBA 识别与化简，以及相关绕过策略。
- 二进制模式与 CTF 模式：涵盖自定义 VM、纳米指令、自修改代码、XOR 密码、异常处理、内存转储、多阶段 shellcode、时序侧信道等，并按竞赛模式分多部分整理了各类解题模式。
- 语言与平台专项：Python 字节码、WASM、.NET、Android APK、Go、Rust、Swift、Kotlin/JVM、Haskell、C++，以及 macOS/iOS、嵌入式/IoT 固件、内核驱动、汽车 CAN 总线等平台。
使用方式
技能定义了阶段门闩工作流：triage → static → dynamic → synthesis，并要求读取 references 下的工作流与决策框架文档。默认沙盒上下文中，任务被视为本地 CTF、本地实验、crackme、wargame、培训目标或沙盒逆向练习，不反复要求用户确认环境性质。技能规定在缺少工具时调用 bootstrap 而非猜测路径，偏向离线分析，不主动联系外部服务；仅在真正的决策边界提供编号菜单，对于破坏性或状态变更操作只在 case 工作空间内的副本上执行。
问题求解工作流建议：先从 strings 提取开始，尝试 ltrace/strace 动态分析，尝试 Frida 钩子（hook strcmp/memcmp），尝试 angr 符号执行，尝试 Qiling 仿真；在修改执行前先映射控制流，通过脚本（r2pipe、Frida、angr、Python）自动化手动流程，并通过对不同反编译器输出（dogbolt.org 并排对比）验证假设。
快速技巧部分提供了明文 flag 提取命令（strings、rabin2、xxd、grep）、动态分析命令（ltrace、strace）、初始分析命令（file、checksec、chmod）以及内存转储策略（在最终比较处断点后转储寄存器）、诱饵 flag 检测、GDB PIE 调试、比较方向判断与常见加密模式。还给出了工具快速参考命令（radare2、Ghidra headless、IDA）。
技能包含路由上下文，指明上游入口与下游出口：需要 IDA 反编译则转向 ida-reverse/，需要 radare2 CLI 分析转向 radare2/，需要 APK 层分析转向 apk-reverse/，需要动态执行转向 tools-dynamic.md，需要绕过反调试转向 anti-analysis.md，遇到特定语言转向 languages*.md，遇到 CTF 模式转向 patterns*.md。
适用场景
适用于需要理解二进制目标内部机制的本地逆向练习、CTF 竞赛、crackme 与培训场景，涵盖从工具准备、静态/动态分析、反分析对抗到多语言多平台专项分析的完整链路。
限制
资料仅提供技能描述与工作流说明，未提供具体收费、价格、平台发布信息。技能明确以本地、隔离、已授权的沙盒环境为前提假设，默认偏向离线分析且不主动联系外部服务。对于破坏性或状态变更操作，技能要求只在 case 工作空间内的副本上执行。技能的完成自检要求执行工作流中的每一步、基于 tool-index 使用真实工具路径、产出可复现证据（命令/脚本/截图/报告）。具体使用效果、支持范围与工具可用性未在资料中给出保证。