mcpField
C
case-review

case-review

github.com/zhaoxuya520安全43.7k955 次安装5 周前更新
代码仓库

关于 case-review

case-review 是用于逆向、取证、CTF 或授权安全案件的只读审查技能，可检查现有案件包的证据结构与可追溯性，并生成交接结果。

主要功能

  1. 01检查范围与案件材料
  2. 02核对 Evidence 引用关系
  3. 03审查 Findings 和 Paths
  4. 04可选 SHA-256 校验
  5. 05导出 Markdown 或 JSON 结果

适用场景

  1. 01准备案件报告或专家交接
  2. 02检查 Finding 与证据的关联
  3. 03校验案件内文件哈希
  4. 04将审查结果接入 CI

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill case-review

安装后在 Claude Code 中输入/case-review确认已加载。

附带文件scripts/review_case.pytests/test_review_case.py

详细介绍

Evidence Graph Review

当逆向工程、取证、CTF 或经授权的安全案例需要可辩护的交接时，使用此技能。它会审计现有的 work/<case>/ 包，而不改变案例或触碰目标。

范围

此技能涵盖：

  • 范围元数据和目标活动就绪情况
  • Evidence 记录结构和可复现性字段
  • 从工作项和时间线条目到 Evidence 的引用
  • 报告 Markdown 中的结构化 Findings 和 Paths
  • 对案例本地工件进行可选的 SHA-256 校验
  • 用于报告交接的 Markdown 或 JSON 审查结果

它绝不能执行侦察、漏洞利用、动态插桩或目标更改。这些操作属于所路由的分析技能，并需要案例范围门禁。

ACTION REQUIRED

  1. NOW：阅读 ../field-journal/precedent-reverse.md 并确认这是对现有经授权案例包的审查。
  2. NOW：确认案例路径并选择只读审查模式。
  3. NEXT：阅读 ../tool-index.md；此技能仅使用 Python 3 标准库，不需要 bootstrap。
  4. NEXT：运行 python3 scripts/review_case.py <case-root> --format markdown。
  5. ACT：解决每一个错误，然后在声称交接完成之前重新运行审查。

工具依赖

工具必需用途自动 bootstrap
Python 3.9+是运行只读案例审查脚本否，使用平台 Python 安装

不需要网络访问或第三方包。

工作流

Phase 1: Intake

针对现有案例目录运行审查：

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

确认 scope.md、timeline.md、workitems.md 和 evidence/ 均存在。非严格审查会报告范围警告，而严格审查会将警告视为交接阻碍。

建议下一步（选一个编号）

  1. 修复 scope.md 中的授权、范围或 network_profile 字段
  2. 继续检查 Evidence 记录的可复现命令和来源
  3. 导出当前 review 结果并附到阶段性报告
  4. 换 JSON 输出接入 CI 或其他审查工具
  5. 暂停，先确认审查范围
Phase 2: Traceability

审查以下检查项：

  • 不存在的 Evidence ID
  • 没有 evidence_ids 的 Findings
  • 没有允许的 path_type 或 Evidence 引用的 Paths
  • 指向未知 Evidence 的工作项和时间线条目
  • 未链接的 Evidence 记录
  • 置信度低的有效 Findings

离线观察只有在它的 notes 字段明确记录了离线限制时，才可以使用 repro_command: n/a。

当另一个工具需要稳定字段时，使用 JSON：

python3 skills/case-review/scripts/review_case.py work/<case> --format json

建议下一步（选一个编号）

  1. 补写缺失的 Evidence，并保留原始命令
  2. 将候选 Finding 绑定到 Evidence 后重新审查
  3. 为调用链或攻击链补充 P-id 和 Path 步骤
  4. 生成 Markdown handoff summary
  5. 换回 PRIMARY skill 继续分析
Phase 3: Fixity verification

当 Evidence 记录同时包含 content_hash 和 artifact_path 时，校验案例本地工件：

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

脚本接受 sha256:<64 hex characters>，并检查工件仍位于案例根目录内。哈希不匹配是硬失败。

PowerShell Evidence helper 可以在追加记录时记录哈希：

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

建议下一步（选一个编号）

  1. 修复 hash mismatch 或替换已污染的工作副本
  2. 为未固定的原始文件补充 SHA-256 和 artifact_path
  3. 继续进入报告生成阶段
  4. 导出 JSON 结果供 CI 保存
  5. 暂停并请求人工复核
Phase 4: Handoff

在最终报告或专家交接之前使用严格模式：

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

除非显式使用 shell 重定向保存其输出，否则该命令相对于案例是只读的。该审查不是法律建议，也不能替代组织的证据处理程序。

建议下一步（选一个编号）

  1. 将通过的 review 结果交给 docs-generator/ 生成正式报告
  2. 回到 PRIMARY skill 补齐新的分析证据
  3. 归档 Markdown 和 JSON review 结果
  4. 暂停并请求人工复核

语言行为契约

  • 内部推理、工具选择和阶段控制：English。
  • 用户可见消息、章节标签、报告和下一步菜单：除非用户请求其他语言，否则使用中文。
  • 默认双语标签将中文放在前，英文放在后，以 / 分隔。

引导边界

本技能没有第三方依赖。如果 Python 3 不可用，唯一允许的恢复操作是：当前平台已注册 Python 能力时，走仓库引导路径。如果未注册此类能力，停止并报告缺失的运行时。不要猜测可执行文件路径、下载软件包，或从本技能内部执行手动安装。

路由上下文

上游入口：任何已生成 case package 的反向、取证、CTF 或授权安全技能。

下游出口：用于正式报告的 docs-generator/，或在图不完整时返回原始 PRIMARY 技能。

相关模块：ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/ 和 docs-generator/。

参考资料

任务完成自检

  • 我是否审查了 scope.md、timeline.md、workitems.md 和 evidence/？
  • 所有 Finding 是否引用了现存 Evidence？
  • 所有 Path 是否包含合法 path_type 和 Evidence 引用？
  • 是否执行了 hash verification，或记录了未执行原因？
  • 是否以 strict 模式重新运行并保存了 review 结果？

评论

支持 Markdown