关于 competition-pcap-protocol
面向 CTF 取证的专用技能，适用于关键证据位于网络流量中的场景，可重建会话、协议帧和传输文件。它依赖 `$ctf-sandbox-orchestrator` 先建立沙箱假设和证据优先级。
主要功能
- 01梳理捕获会话与端点
- 02重组数据流和会话
- 03解码协议帧与载荷
- 04关联数据包和主机行为
- 05保留数据包级证据
适用场景
- 01重建命令或数据传输会话
- 02从捕获流量中恢复文件
- 03将数据包序列关联到主机事件
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-pcap-protocol确认已加载。
附带文件agents/openai.yamlreferences/pcap-protocol.md
详细介绍
竞赛 PCAP 协议
仅在 $ctf-sandbox-orchestrator 已处于活动状态，并已确立沙箱假设、节点归属和证据优先级之后，才将此技能用作下游专门化技能。如果尚未完成这些步骤，请先回到 $ctf-sandbox-orchestrator。
当决定性证据位于数据包顺序、协议分帧或流重建中，而不是单个 IOC 或主机日志中时，请使用此技能。
除非用户明确要求英文，否则用简体中文回复。
快速开始
- 先确定捕获边界：主机、时间跨度、接口、缺失的数据包、重传和流数量。
- 在解码载荷语义之前，先将流量分组为会话。
- 将协议分帧、序列、时序和传输的制品一并记录，而不是作为孤立的数据包记录。
- 仅在会话重建完成后，才将数据包证据与主机、恶意软件或应用行为关联起来。
- 复现能够证明挑战路径的最小已解码流或传输制品。
工作流
1. 构建会话映射
- 识别端点、协议、端口、TLS 握手、DNS 查询、websocket 升级和长连接流。
- 在得出结论之前，记录缺失的捕获覆盖、非对称路由、数据包丢失或重组问题。
- 区分控制通道、批量传输、保活和噪声。
2. 解码协议边界
- 在解释字段之前，先重组 TCP 流或 UDP 会话。
- 恢复分帧、消息顺序、自定义头、二进制字段、压缩、加密边界和对象传输。
- 保持载荷方向、时序和会话状态与每条已解码消息一致。
3. 将数据包与行为关联
- 说明哪个数据包序列映射到哪个主机事件、恶意软件分支、登录流程、上传、外传步骤或命令通道。
- 区分协议识别与制品恢复：仅命名 HTTP、DNS 或自定义 C2 是不够的，还需要已解码内容或已证实的下游影响。
- 如果解码后任务主要变成主机时间线问题，请切换到更聚焦的取证时间线技能。
阅读此参考资料
- 加载
references/pcap-protocol.md以获取会话检查清单、解码检查清单和证据打包。 - 如果难点是 WebSocket 或 SSE 握手、订阅流程、实时帧或帧驱动状态，请优先使用
$competition-websocket-runtime。 - 如果难点是自定义握手、分帧、校验和、序列依赖或确定性重放测试装置，请优先使用
$competition-custom-protocol-replay。
需要保留的内容
- 流 ID、端点对、数据包范围、时间戳、协议分帧和对象边界
- 已解码的请求、响应、命令、传输文件以及承载它们的会话
- 能够证明挑战行为的精确数据包序列或重建流
评论
支持 Markdown