mcpField
C
competition-bundle-sourcemap-recovery

competition-bundle-sourcemap-recovery

github.com/zhaoxuya520安全43.7k94 次安装5 周前更新
代码仓库

关于 competition-bundle-sourcemap-recovery

competition-bundle-sourcemap-recovery 是用于分析构建产物、source map 或混淆加载器中运行时行为的安全技能。它重建能解释当前行为的最小资源执行路径。

主要功能

  1. 01整理已提供资源与构建清单
  2. 02追踪分块加载器和模块注册表
  3. 03借助 source map 还原运行时结构
  4. 04区分线上产物与仓库源代码

适用场景

  1. 01从 bundle 中查找生效路由或 API 调用
  2. 02调查隐藏路由代码或分块加载
  3. 03核实线上资源与源代码不一致时的行为

安装

复制下面的命令,在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-bundle-sourcemap-recovery

安装后在 Claude Code 中输入/competition-bundle-sourcemap-recovery确认已加载。

附带文件agents/openai.yamlreferences/bundle-sourcemap-recovery.md

详细介绍

竞赛捆绑包 Sourcemap 恢复

仅当 $ctf-sandbox-orchestrator 已处于活动状态,并且已建立沙箱假设、节点归属和证据优先级之后,才将此技能作为下游专业化使用。如果尚未发生这种情况,请先返回 $ctf-sandbox-orchestrator。

当运行时真相存在于构建产物、source map、chunk 表或混淆的 loader 流程中,而不仅仅存在于检入的源代码中时,请使用此技能。

除非用户明确要求英文,否则用简体中文回复。

快速开始

  1. 从已提供的产物集合开始:入口 HTML、构建清单、引导 bundle、chunk 映射和 source map。
  2. 在进行大范围手动反混淆之前,记录 chunk id、路由 chunk、loader 函数、端点字符串和配置键。
  3. 重建能够解释当前哪个产物在执行的最小运行时图。
  4. 除非已证明一致,否则将已提供产物的真相与仓库源代码分开保存。
  5. 复现能够证明决定性行为的最小产物到运行时边界。

工作流

1. 映射已提供的产物集合
  • 记录入口 HTML、script 标签、预加载提示、清单文件、产物映射、chunk 注册表和 source map URL。
  • 注意框架特定的产物,例如路由清单、客户端引用清单或惰性加载器表(如果存在)。
  • 将输出的文件名、哈希后缀和路由归属保持关联。
2. 重建运行时结构
  • 跟踪引导代码、chunk loader、模块注册表、字符串解码器和惰性导入边界。
  • 使用 source map、清单文件和稳定的符号簇来恢复路由名称、API 调用、功能标志和隐藏面板。
  • 区分构建时意图与当前正在提供的 bundle。
3. 缩减到决定性的 bundle 路径
  • 将结果压缩为最小序列:已提供的产物 -> loader 路径 -> 模块或符号 -> 运行时效果。
  • 清楚说明决定性弱点存在于清单漂移、chunk 加载、隐藏路由代码、字符串解码还是过时的源代码假设中。
  • 如果任务从构建产物转移到 SSR 或模板强制执行,请交回给更严格的模板渲染技能。

阅读此参考

  • 加载 references/bundle-sourcemap-recovery.md 以获取产物清单、反混淆清单和证据打包。

需要保留的内容

  • 已提供的文件名、chunk id、清单条目、source map 路径、恢复的符号和端点字符串
  • 证明运行时分支的确切执行 bundle 或模块
  • 达到决定性效果的一个最小产物到运行时序列

评论

支持 Markdown