win-reverse SKILL 简介

面向授权 Windows 平台高级逆向的 framework-first 工作流技能：把 PE 分诊、壳与 OEP/IAT、抗分析、.NET/CLR、驱动、Frida 运行时、TLS/网络、Loader/注入、IPC/持久化、配置与资源恢复、UI 消息流、异常/启动链、混合托管桥接、内存取证、Windows CTF、游戏逆向与恶意软件分析等任务沉淀为可执行的协议、工具链与 QA 回归。

一、这是什么

win-reverse 是一个 Windows 平台高级逆向工程工作流技能，覆盖从拿到 PE/EXE/DLL/SYS/.NET 样本到交付可独立复现产物（证据、hook 脚本、patch、协议文档、纯算法实现）的全流程。它不是要求一次性加载全部资料的知识库，而是一套按阶段触发、按需读资料的执行框架。

核心特征：

• 任务化：每个完整任务在 artifacts/tasks/<task-id>/ 下建立独立 task-local，记录目标、契约、证据、假设、尝试与验证结果，支持多轮续跑与上下文交接。

• 阶段化：RouteSync → Observe → Capture → Rebuild → Patch → PureExtraction → Port → Close，叠加 A-调查 / B-规划 / C-实现 / D-验证 四道质量门禁。

• 专题化：20 个 topic 覆盖 Windows 逆向主要面（静态分诊、壳/脱壳、抗分析、.NET、驱动、Frida、TLS/网络、Loader/注入、IPC/持久化、内存取证、混合模式、异常运行时、UI Runtime、配置恢复、协议还原、Web 套壳、CTF、游戏、恶意软件等），按信号自动路由到对应 playbook。

• 可验收：evidence 级要有可读截图/输出，hook-script 级要能复现命中，patch 级要走 .clean.bak 基线与回归，protocol-doc 级字段算法可回指，pure-algorithm 级独立运行通过且禁止 child_process、注册表、安装路径写入、二进制 patch。

二、适用场景

触发场景

当用户提到以下内容时，本技能必须触发（即使没有点名）：

• PE / EXE / DLL / SYS / .NET / CLR / C++/CLI / WOW64 / Mixed Mode

• IDA / Ghidra / x64dbg / WinDbg / dnSpy / ILSpy / Frida

• VMP / VMProtect / Themida / Enigma / 壳 / OEP / IAT 重建 / 脱壳 / 去虚拟化

• CreateRemoteThread / APC / Reflective DLL / Manual Map / Process Hollowing / Loader / 注入

• Service / 计划任务 / WMI / COM / RPC / ALPC / NamedPipe / 持久化

• SEH / VEH / TLS callback / CRT 启动链 / 异常分发

• Schannel / WinHTTP / WinINet / OpenSSL / BCrypt / CryptoAPI / SSL Pinning

• Electron / CEF / WebView2 / Tauri / Wails / NW.js / ASAR

• 注册表配置 / 资源 blob / 许可证字段 / Config 恢复

• WndProc / DialogProc / subclass / 消息流 / UI Runtime

• Minidump / VAD / 内存取证 / 内存重建

• 游戏逆向（UE4/UE5/Unity/IL2CPP/Cocos2d-x/GNames/GObjects/SDK Dump/反作弊/EAC/BattlEye）

• 恶意软件分析（勒索/远控/木马/rootkit/挖矿/窃取器）

• 应用与协议逆向（sign/签名算法/protobuf/Electron/Delphi/MFC/易语言）

• Crackme / Keygen / Solver / Windows CTF

• 继续已有的 Windows 逆向任务

不处理

• 普通 Windows 应用开发

• 未授权漏洞利用

• Android / iOS / 其他非 Windows 场景逆向

• 系统 / ROM / 内核 0day 利用研究

三、两种工作模式

快速分诊

范围窄、只需静态回答、不涉及动态取证或目标修改时，直接做最小静态分诊 + 关键词搜索 + 证据结论。典型问题："这 EXE 有没有壳？""是不是 Electron？""主逻辑是 .NET 还是 native？"

完整任务

出现以下任一情况时创建 task-local，按阶段协议推进：

• 任一交付等级产物（evidence / hook-script / patch / protocol-doc / pure-algorithm）

• 多轮续跑

• 动态取证（x64dbg / WinDbg / Frida / 抓包）

• patch / 重打包 / Hook 注入

• 协议还原或算法迁移

• 壳 / 反调试 / 反分析 / 反虚拟机绕过

• Loader / 注入 / Hollowing 链路重建

• IPC / 持久化控制面梳理

• 混合托管（.NET ↔ native）建链

• 内存取证 / Dump 重建

四、核心原则

五、交付等级

task.json.deliverableTier 首轮锁定，后续只能收紧不能放松：

六、专题覆盖（共 20 个）

按成熟度分组（maturity 表示仓库级 task model、formal validation 与 topic pack 保证级别，不直接等价于真实样本实战回归完备度）：

• synthetic-e2e（17）：anti-analysis、app-protocol、config-recovery、dotnet、driver、exception-runtime、frida-hooking、ipc-persistence、loader-injection、memory-forensics、mixed-mode-interop、packer-unpack、protection-bypass、static-triage、tls-network、ui-runtime、web-shell-triage

• reference-only（3）：ctf、game-reverse、malware-analysis

完整索引见 docs/reference/topic-route-matrix.json 与 docs/reference/capability-matrix.md。

七、高频路由示例

八、文档导航