competition-reverse-pwn について
リバースエンジニアリング、フォレンジック、エクスプロイトを含むバイナリ中心の競技課題向けセキュリティスキルです。元の成果物を保全し、観測可能な挙動を追跡して、決定的な経路をクリーンな状態から再現する手順を示します。
主な機能
- 01元の成果物と変更後のコピーを分けて保全
- 02ファイル形式、セクション、インポート、文字列、エントロピーの初期調査
- 03ファイル、メモリ、ログ、ネットワークキャプチャの関連付け
- 04エクスプロイト原語、リーク、クラッシュ状態の整理
- 05クリーンな状態から成果物や原語を再現
活用シーン
- 01デコードされたペイロードの挙動とフォレンジック証拠の追跡
- 02クラッシュやリークを分析してエクスプロイト原語を検証
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/competition-reverse-pwnを入力して読み込まれたか確認します。
同梱ファイルagents/openai.yamlreferences/reverse-pwn.md
詳細
競技リバース Pwn
このスキルは、$ctf-sandbox-orchestrator がすでにアクティブで、サンドボックスの前提、ノードの所有権、証拠の優先順位が確立されている場合にのみ、下流の専門分野として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。
このスキルは、成果物、デコードされたレイヤー、プロセスの挙動、クラッシュ状態、またはエクスプロイトプリミティブを経由する決定的な経路を持つ、バイナリ中心のチャレンジに使用します。
ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。
クイックスタート
- アンパック、パッチ、インストルメンテーションの前に、元の成果物を保存します。
- パッシブトリアージから始めます: type、headers、sections、imports、strings、entropy、resources。
- その経路がリバース優先、DFIR 優先、エクスプロイト優先のいずれであるかを判断します。
- すべての主張を観測可能な境界に結び付けます: デコード境界、永続化境界、クラッシュ境界、またはリーク境界。
- クリーンなベースラインから成果物またはプリミティブを再現します。
ワークフロー
1. リバースまたはフォレンジックトリアージ
- ローダー、ペイロード、設定、デコード後の挙動を分離します。
- ファイル、メモリ、ログ、レジストリ、サービス、タスク、IPC、PCAP を 1 つのグラフとして相関付けます。
- デコードまたはダンプされた成果物は、元のサンプルとは別に保持します。
2. ネイティブおよびエクスプロイト経路
- 緩和機構、ローダーの挙動、libc またはランタイム、syscall と IPC のサーフェス、プロトコルフレーミングをマッピングします。
- プリミティブ、制御可能なバイト、リーク元、ターゲットオブジェクト、最終成果物を別々に記録します。
- プリミティブを疑う前に、ホスト、libc、ローダー、フレーミングの違いを比較します。
このリファレンスを読む
- トリアージの順序、エクスプロイト証拠の期待値、一般的な失敗モードについては
references/reverse-pwn.mdを読み込んでください。 - タスクが特にステージングされたペイロードの境界、設定ブロブ、ビーコンパラメータ、またはデコードされた IOC フィールドに関するものである場合は、
$competition-malware-configを優先してください。 - タスクが特にファームウェアパーティション、ブートチェーン、抽出されたファイルシステム、または更新パッケージの信頼境界に関するものである場合は、
$competition-firmware-layoutを優先してください。 - タスクが特にアップロードのパース、プレビュー、アーカイブ展開、コンバーター、またはデシリアライゼーションチェーンに関するものである場合は、
$competition-file-parser-chainを優先してください。 - タスクが特にソースマップ、出力されたバンドル、チャンクレジストリ、または配信されたフロントエンドアセットから隠されたランタイム構造を再構築することに関するものである場合は、
$competition-bundle-sourcemap-recoveryを優先してください。 - タスクが特にコンテナからホストへの境界越え、カーネルエクスプロイトの前提条件、名前空間または cgroup のクロスオーバー、またはエスケーププリミティブの検証に関するものである場合は、
$competition-kernel-container-escapeを優先してください。 - タスクが特にパケットキャプチャからプロトコル、ストリーム、または転送された成果物を再構築することに関するものである場合は、
$competition-pcap-protocolを優先してください。 - タスクが特に、リプレイ状態、メッセージ順序、またはチェックサムロジックが本当の障壁となるカスタムバイナリまたはテキストプロトコルに関するものである場合は、
$competition-custom-protocol-replayを優先してください。 - タスクが特に EVTX、PCAP、レジストリ、メール、またはディスク成果物をまたいで時系列を再構築することに関するものである場合は、
$competition-forensic-timelineを優先してください。
保存すべきもの
- オフセット、ハッシュ、セクション名、インポート、設定ブロブ、ミューテックス、レジストリキー
- クラッシュオフセット、レジスタ、ヒープまたはスタックの形状、リークアドレス、プロトコルのステップ
- 元の成果物、デコード済み、ダンプ済み、インストルメンテーション済みの成果物を別々のファイルとして
コメント
Markdown 対応