关于 competition-reverse-pwn
面向以二进制分析为主的竞赛题的下游安全技能，涵盖逆向、取证与漏洞利用。它指导研究人员保留原始样本、追踪可观察行为，并从干净基线复现关键路径。
主要功能
- 01将原始样本与修改副本分开保存
- 02检查文件类型、区段、导入项、字符串和熵
- 03关联文件、内存、日志与网络捕获
- 04梳理利用原语、泄露信息和崩溃状态
- 05从干净基线复现样本或利用原语
适用场景
- 01追踪解码载荷行为及其取证证据
- 02分析崩溃或信息泄露以验证利用原语
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-reverse-pwn确认已加载。
附带文件agents/openai.yamlreferences/reverse-pwn.md
详细介绍
竞赛逆向 Pwn
仅在 $ctf-sandbox-orchestrator 已激活并已建立沙箱假设、节点归属和证据优先级之后，才将本技能作为下游专项使用。如果尚未完成上述步骤，请先返回 $ctf-sandbox-orchestrator。
当关键路径涉及产物、解码层、进程行为、崩溃状态或利用原语时，使用本技能处理二进制密集型挑战。
除非用户明确要求英文，否则用简体中文回复。
快速开始
- 在解包、打补丁或插桩之前，先保留原始产物。
- 从被动分诊开始：类型、头部、节区、导入、字符串、熵、资源。
- 判断路径是逆向优先、DFIR 优先，还是利用优先。
- 将每一项结论绑定到可观测边界：解码边界、持久化边界、崩溃边界或泄漏边界。
- 从干净基线复现产物或原语。
工作流
1. 逆向或取证分诊
- 区分加载器、载荷、配置和解码后行为。
- 将文件、内存、日志、注册表、服务、任务、IPC 和 PCAP 关联为同一张图。
- 将解码或转储后的产物与原始样本分开保存。
2. 原生与利用路径
- 梳理缓解措施、加载器行为、libc 或运行时、系统调用与 IPC 表面，以及协议帧格式。
- 分别记录原语、可控字节、泄漏来源、目标对象和最终产物。
- 在怀疑原语之前，先比较主机、libc、加载器和帧格式差异。
阅读此参考
- 加载
references/reverse-pwn.md以了解分诊顺序、利用证据预期和常见失败模式。 - 如果任务专门涉及分阶段载荷边界、配置 blob、beacon 参数或解码后的 IOC 字段，优先使用
$competition-malware-config。 - 如果任务专门涉及固件分区、启动链、提取的文件系统或更新包信任边界，优先使用
$competition-firmware-layout。 - 如果任务专门涉及上传解析、预览、归档解压、转换器或反序列化链，优先使用
$competition-file-parser-chain。 - 如果任务专门涉及 source map、生成的 bundle、chunk 注册表，或从提供的前端资产重建隐藏运行时结构，优先使用
$competition-bundle-sourcemap-recovery。 - 如果任务专门涉及容器到宿主机边界跨越、内核漏洞利用前提、namespace 或 cgroup 交叉，或逃逸原语验证，优先使用
$competition-kernel-container-escape。 - 如果任务专门涉及从数据包捕获中重建协议、流或传输的产物，优先使用
$competition-pcap-protocol。 - 如果任务专门涉及自定义二进制或文本协议，其中重放状态、消息顺序或校验和逻辑是真正的阻塞点，优先使用
$competition-custom-protocol-replay。 - 如果任务专门涉及跨 EVTX、PCAP、注册表、邮件或磁盘产物重建时间线，优先使用
$competition-forensic-timeline。
需要保留的内容
- 偏移、哈希、节区名称、导入、配置 blob、互斥体、注册表键
- 崩溃偏移、寄存器、堆或栈形态、泄漏地址和协议步骤
- 原始、解码、转储和插桩产物应作为单独文件保存
评论
支持 Markdown