反逆向工程技术

要解决什么问题

受保护的二进制在恶意软件样本、商业软件加固与 CTF 题目里很常见：反调试、混淆、完整性校验与授权校验会抬高静态/动态分析成本。若缺少清晰流程，分析者容易在授权边界、证据留存与「只读理解」和「主动绕过」之间踩线。

本技能面向已获书面许可或处于合法安全场景的工程实践：把「先确认能不能做、再识别保护、再选方法、最后怎么写结论」串成可复用路径。

技能如何工作

核心能力来自 SKILL.md 中的四步指令，并与 resources/implementation-playbook.md 中的技术与示例对齐：

1. 确认授权与范围：书面许可、渗透/研究范围、法律与政策约束（如 CFAA、DMCA 反规避等）。
2. 识别保护机制：区分反调试、混淆、壳、许可校验等，并选择风险可控的分析手段（静态、动态、沙箱、符号/日志等）。
3. 记录发现：强调可审计的记录方式，避免对目标做不必要的修改，便于复现与汇报。
4. 输出防御视角：将观察转化为缓解与检测建议（监控点、加固思路、蓝队可落地的检查项），而非单纯「绕过清单」。

适用时机包括：授权下的受保护二进制分析、恶意软件研究、CTF/批准演练，以及为防御目的理解对手使用的反分析技术。

边界与注意点

• 不适用：无明确授权、为盗版或滥用而绕过保护、或当地法律/政策禁止分析的场景。
• 安全纪律：不要在授权范围外分享绕过细节；恶意软件案例应保留证据并维持监管链。
• 技能内容具双用途属性，默认假设读者是安全工程师或研究人员，而非未授权破解场景。