Reverse Engineering Skills Master Control

本目录收录了一系列逆向工程相关的技能模块，每个子目录是一个独立模块，内含 SKILL.md 描述其适用场景、工具链和工作流程。

CRITICAL: 路由执行契约（必须立即执行）

读完本文件后，不允许只回复“已读/已理解”。必须按顺序执行：

1. NOW：跑平台原生 router（Windows scripts/master-route.ps1；Linux/macOS/Kali scripts/master-route.sh），从 config/routing.json 定 PRIMARY；疑难再读 routing.md 三轴附录。
2. NOW：平台原生 case-init 落地当前分析项目的 work/<case>/scope.md；auth 未 granted 禁止对目标 ACT。本地离线样本使用 offline-sample preset + explicit sample；Force 不得绕过硬门。
3. ACT：立即打开 PRIMARY SKILL.md 执行 ACTION REQUIRED。
4. NEXT：工具路径只认 tool-index.md；缺工具 → 平台原生 bootstrap（仅 manifest）。
5. 结论用 Evidence→Finding→Path。报告/journal 是 SHOULD，除非用户要交付物。

身份：见 ops/IDENTITY.md（轻量路由包 + 工具自举 + journal；不是 Z3r0 式平台）。

如果路由无法命中，必须先联网补充方法论并提议新增 skill，禁止硬塞到不匹配模块。

指令语义级别（RFC 2119）

• MUST：必须执行，违背即任务失败。
• MUST NOT：禁止执行，违背即安全违规。
• SHOULD：原则上要做，不做必须说明原因。
• MAY：可选动作。

当前模块

统一入口

遇到逆向、CTF、抓包、前端签名、APK 改包、二进制分析类任务时，先按这个顺序进入：

1. 平台原生 router（Windows scripts/master-route.ps1；Linux/macOS/Kali scripts/master-route.sh）→ PRIMARY（config/routing.json）
2. 平台原生 case-init → scope.md
3. 打开 PRIMARY SKILL.md
4. 疑难时读 routing.md，需要本机路径时读 tool-index.md

工作思路

这些模块可以按需组合使用：

1. 拿到一个目标 → 先看文件类型，选对应的分析工具
2. 快速捡漏 → strings / rabin2 -z / ltrace 看看有没有直接线索
3. 深入分析 → 如果需要反编译→IDA；需要动态 Hook→Frida；需要符号执行→angr
4. 一条路走不通就换一条 → 静态分析不行就动态，Java 层不行就看 so，页面观察不够就断点

下一步菜单模式（Next-Step Menu Pattern）

只有在 genuine decision boundary（存在两个或以上 materially different、evidence-supported 分支，且用户选择会改变下一动作）时，子 skill 才 MUST 提供 3-6 个编号选项。若下一步由 gate / Evidence 唯一决定，MUST 直接继续，并按 ops/timeline-workitem.md 只记录 decision_delta + carry_forward_refs；MUST NOT 为制造菜单而重新输出 unchanged route/scope/auth/context。

格式要求：

• 每个选项以数字编号（1-6 范围）
• 每个选项描述一项具体可执行的动作（不是抽象方向）
• 至少包含一个"导出报告/写 writeup"选项
• 至少包含一个"继续深入分析"或"换一种方法"选项
• 必要时包含一个"停止/暂停/询问其他问题"出口

示例：

## 建议下一步（选一个编号）

1. 对 sub_140001000 做深度反编译，还原算法
2. 用 Frida 动态 Hook 验证参数猜想
3. 导出当前已命名函数，生成符号迁移 YAML
4. 生成当前阶段的分析报告
5. 换 radare2 做轻量侦察对比
6. 暂停，我先确认前面的证据

目录是动态扩充的

本目录会持续增长。发现新的子目录时，读它的 SKILL.md 就能快速了解用途。

新增 skill 时，按 CONTRIBUTING.md 的标准流程操作，确保：

• 路由矩阵能正确分流
• bootstrap 系统能自动补齐依赖
• tool-index 能反映新工具状态

关联资源

• 本机还有 anything-analyzer（端口 23816）MCP 服务器，提供浏览器自动化、HTTP 捕获和 AI 分析能力
• tool-index.md 记录本机逆向工具是否可用、实际路径、版本和脚本引用
• 包根目录下的 Readme.md 提供面向 Claude Code、Codex CLI 与其他代码 AI 客户端的通用安装与接入说明

按需自举

当 workflow 发现缺少工具时，不要直接报错。统一调用平台原生 bootstrap：

Windows：

powershell -NoProfile -ExecutionPolicy Bypass -File "<skill-root>\scripts\bootstrap-reverse.ps1" -Capability @('工具名') -StartServices

Linux / macOS：

bash <skill-root>/scripts/bootstrap-reverse.sh 工具名 --start-services

Kali：

bash <package-root>/kali/scripts/bootstrap-reverse.sh 工具名 --start-services

支持的能力（以 scripts/bootstrap-manifest.json 为准）：jadx、apktool、jeb-pro、binaryninja、frida、frida-ps、idalib-mcp、reqable-mcp、jshookmcp、xquik-mcp、anything-analyzer、idapro、r2、rabin2、adb、agent-browser、ghidra-mcp、seclists、proxycat、burpsuite-mcp、nmap、pentestswarm、binwalk、yara、pwntools、bkcrack

JEB Pro 已登记为手动许可安装能力：bootstrap 只输出指引，绝不下载或规避商业许可。Reqable MCP 仅登记固定版本的官方运行时，仍需要用户自行安装 Reqable 桌面客户端。

清单中未登记的工具（如 unblob/EMBA 等）MUST 在 skill 文档中走手动安装步骤，禁止假装可 bootstrap。

自举完成后会自动刷新 tool-index。

操作先例库（Precedent Files）

在执行任何逆向/渗透操作之前，按顺序 MUST 读取：

#1 前置，#2 懒加载。

自动进化

每次完成逆向/渗透任务后，必须回写经验到 field-journal/ 目录。详见 RULES.md 的"任务完成后的硬性 Checklist"。

• 模板：field-journal/_template.md
• 索引：field-journal/_index.md
• 先例：field-journal/precedent-auth.md → precedent-reverse.md → precedent-pentest.md
• 新任务开始前先查索引和先例，复用已有经验

任务完成自检（声称完成前 MUST 通过）

• 我是否完成了路由三轴匹配（目标类型 + 用户意图 + 工具链）？
• 我是否在路由成功后读取了目标 skill 的 SKILL.md？
• 路由未命中时，我是否提议了新增 skill 而非强行匹配？
• 我是否基于 tool-index 使用了真实工具路径？