protocol-analysis 是 zxzvsdcj/ai-reverse-toolkit 仓库下的一个协议逆向分析技能，用于对指定目标执行网络协议逆向分析。其触发条件包括：需要分析 API 协议、WebSocket 通信协议、gRPC 接口、Protobuf 等场景。
用途 该技能面向网络通信协议的逆向工作，覆盖四类协议及其分析流程。
协议类型识别 技能首先判断目标使用的协议类型，依据包括：Content-Type 为 application/json 时归为 REST JSON API；Upgrade 为 websocket 时归为 WebSocket；Content-Type 为 application/grpc 或 application/x-protobuf 时归为 gRPC / Protobuf；请求体为不可读二进制时归为自定义二进制协议；Content-Type 为 application/x-www-form-urlencoded 或 multipart/form-data 时归为表单编码。
MCP 依赖 技能依赖两个 MCP：js-reverse-mcp 用于 WebSocket 分析、请求发起栈追踪、JS 内执行；android_proxy_mcp 用于 HTTP/HTTPS 流量捕获与搜索（Android 场景）。
主要能力
Stage A：HTTP REST API 分析 包含请求结构分析、参数分析、签名还原与请求重放验证。Web 场景使用 js-reverse-mcp 的 list_network_requests、get_request_initiator、search_in_sources；Android 场景使用 android_proxy_mcp 的 traffic_list、traffic_get_detail、traffic_read_body、traffic_search。参数分析通过对比多次相同接口请求，将变化字段分类为时间戳类、随机数类、签名类、会话类。找到签名参数后转到 find-crypto-entry skill 定位加密入口。请求重放给出了 Python requests 脚本示例。
Stage B：WebSocket 协议分析 包含连接发现、消息格式识别、消息追踪、心跳与认证分析。连接发现使用 get_websocket_messages() 与 search_in_sources("new WebSocket")；消息格式识别区分 JSON、二进制加 JSON、Protobuf、自定义二进制、文本协议；消息追踪通过在 WebSocket.send 与 onmessage 处设断点进行；心跳与认证关注连接后的认证消息、定时心跳、消息序列号、订阅/取消订阅机制。
Stage C：gRPC / Protobuf 分析 包含 Protobuf 结构还原、字段类型速查与 gRPC 调用重放。有 .proto 文件时用 protoc 编译；无 .proto 时可用 blackboxprotobuf 自动推断（pip install protobuf blackboxprotobuf），或手工还原 .proto。字段类型速查表列出 Wire Type 0/1/2/5 对应类型。gRPC 调用重放提供 grpcurl 命令与 Python gRPC 客户端反射示例。
Stage D：自定义二进制协议分析 包含数据采集、格式推断、字段编码识别与动态分析辅助。格式推断步骤为：Hex 对比多组数据、识别固定头部、识别长度字段、识别消息类型字段、推断字段边界与编码方式。常见结构示例为 [Magic 2B] [Version 1B] [Type 2B] [Length 4B] [Body NB] [Checksum 2B]。字段编码识别涵盖长度前缀、固定宽度、0x00 结尾、TLV 结构、大端序、小端序。动态分析辅助在 JS 场景下于 ArrayBuffer / DataView 构造处设断点并追踪 setUint32 / setUint16 调用；Android 场景下用 Frida hook ByteBuffer / DataOutputStream。
使用方式 该技能以技能文件形式提供，通过 $ARGUMENTS 接收分析目标。执行时按上述阶段推进，并遵循反模式提示：不假设 JSON 就是 REST、不忽略请求顺序、不只分析单次请求、不手动解析 Protobuf。完成标准要求输出协议分析结果，包括目标、协议类型、请求格式、签名/加密、认证方式、已验证的 Python 重放脚本（output/api_client.py）与验证结果。
适用场景 适用于分析 API 协议、WebSocket 通信协议、gRPC 接口、Protobuf 以及自定义二进制协议，覆盖 Web 与 Android 两类场景。
限制 资料中除 MCP 依赖与相关工具安装命令外，未提供该技能自身的安装方式、收费或价格信息，暂未提供。参考文件包括 references/protobuf-reverse.md（Protobuf 二进制格式详解和手工还原技巧）与 references/websocket-analysis.md（WebSocket 协议分析模式和常见框架，如 Socket.io/SignalR）。