opencode-skills-collection 4.0.43 → 4.0.45

package/bundled-skills/docs-generator/references/vendor-report-rules.md

@@ -0,0 +1,263 @@
+# Vendor Report Rules（专业厂商报告结构叠加层）
+
+> Issue #65 问题 2。  
+> **只抽结构与写法规则，禁止抄录任何厂商报告正文、图表、真实 IOC 实例或大段表述。**  
+> 本文件是**叠加层**：不替换 `security-report-templates.md` 的任务模板，也不削弱 §0 Evidence→Finding→Path。
+
+结构参考（公开样例，仅骨架）：
+
+| Flavor | 主参考 | 场景 |
+|--------|--------|------|
+| `malware` | 火绒安全病毒/技术分析报告 | 明确的普通木马、白加黑、钓鱼投毒、恶意样本 |
+| `apt` | 卡巴斯基 Securelist / APT 战役报告（如 MATA） | APT、团伙战役、多阶段感染链、行业定向 |
+
+原则：**模板在精不在多** —— 仅 2 个厂商全文 flavor（`malware` / `apt`）+ Base 通用元素 + **可选 thin overlay**（如 `vuln` 漏洞技术分析）。普通逆向、渗透、CTF 和 JS 报告保持任务模板，不默认伪装成恶意软件报告；`vuln` **不是** 第 3 个默认全文 flavor。
+
+---
+
+## 0. 何时启用
+
+在 `docs-generator` 生成**安全类**报告时（逆向 / 恶意软件 / 渗透收尾 / 用户明确要求「专业报告」「厂商风格」）**MUST** 读取本文件。只有任务证据或用户明确要求支持时才选择厂商 flavor；否则使用 `flavor = null`，仅叠加通用专业元素和原任务模板。
+
+| 信号 | Flavor / Overlay |
+|------|------------------|
+| APT / 团伙 / 战役 / 多阶段 C2 / 行业定向 / ICS / spear-phish 战役 | `apt` |
+| 明确恶意样本、木马、窃密、白加黑、仿冒站点 | `malware` |
+| 用户明确要求漏洞/补丁/CVE 技术分析，或任务证据为 OS/组件漏洞研究 | `flavor = null` + **thin overlay `vuln`**（见 §3b） |
+| 普通 APK/ELF/PE/Mach-O 逆向、算法分析、固件分析、渗透测试、CTF、JS 签名 | `flavor = null`；使用原任务模板和通用专业元素最小集 |
+
+用户显式指定「按卡巴/APT」「按火绒/病毒报告」「按漏洞技术分析」时，覆盖自动选型。  
+**禁止** 把普通 malware/APT/普通逆向默认套进 `vuln` 目录。
+
+---
+
+## 1. 通用专业元素（Base）
+
+下列 Base 元素按报告类型应用。标 **MUST** 的不可省略；与特定 flavor 相关的元素不得为了填模板而出现在无关任务中。没有适用内容时，使用 `n/a` 并说明原因。
+
+| # | 元素 | 要求 |
+|---|------|------|
+| G1 | 执行摘要 / 概述 | **MUST**：3–8 句：分析了什么、最严重结论、影响面、建议动作 |
+| G2 | 范围与授权 | **MUST**：链到 case `scope.md`（见模板 §0.1） |
+| G3 | Evidence→Finding→Path | **MUST**：见 `security-report-templates.md` §0 与 `skills/ops/evidence-finding-path.md` |
+| G4 | IOC 表 | `malware` / `apt` **MUST**；其他任务仅在存在相关指标时出现 |
+| G5 | 建议 / 处置 | `malware` / `apt` **MUST**：至少 1 条可执行建议；其他任务按原任务模板 |
+| G6 | 附录元数据 | **SHOULD**：工具与版本、样本哈希、完整复现命令 |
+| G7 | ATT&CK 映射 | **MUST**（`apt` 下；无适用技术时 `n/a` + 原因）；其他任务 **SHOULD** |
+
+### 1.1 IOC 表最小列
+
+```markdown
+| 类型 | 值 | 上下文 | 首次/最后发现 | 来源证据 | 置信度 |
+|------|----|--------|---------------|----------|--------|
+| file_sha256 / file_md5 / domain / ip:port / url / mutex / path / registry | … | 何处发现 | YYYY-MM-DD / n/a | E-id | high/med/low |
+```
+
+### 1.2 版权与安全边界
+
+- 不得粘贴厂商 PDF/网页正文段落或图注充作己方分析。
+- 真实 token、内网 URL、客户标识用占位符。
+- 未授权目标不得输出可直接利用的攻击步骤细节（遵循 case scope / RULES）。
+
+---
+
+## 2. Flavor：`malware`（火绒式 · 明确选择）
+
+**叙事目标**：让读者 5 分钟内看懂「是什么 → 怎么来的 → 样本怎么干的 → 怎么处置 → 有哪些 IOC」。
+
+### 2.1 推荐章节顺序
+
+```markdown
+# [标题：一句话威胁定性]
+
+> 分析日期 / 分析方 / 样本标识（哈希）
+
+## 1. 概述
+（G1：发现渠道、伪装手法、核心技术点、产品侧可否查杀——若未知写 n/a）
+
+## 2. 攻击 / 感染流程
+（流程图：Mermaid 或分步列表；对应 Path `path_type=attack`）
+
+## 3. 样本分析
+### 3.1 样本溯源
+### 3.2 静态分析
+（**MUST** 纳入导入表 / 基础身份 Evidence：E-imports 或等价；见 radare2/ida/malware 硬门）
+### 3.3 动态分析 / 行为
+（无动态条件则 n/a + 原因）
+### 3.4 核心发现（Findings 表或编号列表，挂 evidence_ids）
+
+## 4. 应急处置方式
+（仅在授权范围内执行：先确认 scope 并保全样本、内存、进程树、网络连接和日志等证据，再隔离主机；经负责人批准后再终止进程、隔离/清除文件、检查 hosts/启动项、全盘查杀并复核。不得在证据保全前直接删除文件。）
+
+## 5. 总结说明
+（给普通用户/运维的风险提醒与预防）
+
+## 6. IOC 信息
+（G4 表）
+
+## 7. Evidence 链摘要
+（§0：E / F / P / Timeline；可与 §3.4 合并但字段不省）
+
+## 8. 附录
+（工具版本、复现命令、脚本路径）
+```
+
+### 2.2 文风
+
+- 中文用户默认中文；先结论后细节。
+- 静态分析按「组件/阶段」分层，避免无结构的长日志粘贴。
+- 处置步骤必须可独立执行，禁止「加强安全意识」空话充数。
+
+---
+
+## 3. Flavor：`apt`（卡巴斯基 Securelist 式）
+
+**叙事目标**：讲清战役级故事——谁在何时用何链打了谁，调查如何推进，组件如何分工，防守方拿什么去检。
+
+### 3.1 推荐章节顺序
+
+```markdown
+# [战役/集群名称]：[一句话影响]
+
+> 日期 / 团队 / 行业与地区范围（若可知）
+
+## 1. Executive summary
+（G1：时间窗、受害者画像、入口、家族/集群归属、持续时长、最重要结论）
+
+## 2. The infection chain
+（分阶段：投递 → exploit/loader → 主马 → 后渗透/窃密；未知段明确 “limited visibility”
+对应 Path；建议配链图）
+
+## 3. Incident investigation
+（调查叙事：关键转折、内网代理/C2 特征、如何扩大范围；挂 Timeline）
+
+## 4. Interesting findings
+（3–7 条非显而易见要点，每条尽量挂 E-id / F-id）
+
+## 5. Technical analysis
+### 5.1 组件总览表（loader / trojan / stealer / …）
+### 5.2 分组件行为与配置
+### 5.3 静态要点（含导入表/加壳/持久化 Evidence）
+### 5.4 网络与 C2
+（可附 ATT&CK 表 G7）
+
+## 6. Detection and mitigation
+（检测思路 / 狩猎线索 / 缓解优先级；非空泛口号）
+
+## 7. IOC
+（G4；按类型分组）
+
+## 8. Evidence 链摘要
+（§0 字段）
+
+## 9. Appendix
+（样本列表与哈希、工具版本、参考公开编号；不抄外部报告正文）
+```
+
+### 3.2 文风
+
+- 时间线与「可见性限制」要诚实写。
+- Interesting findings ≠ 重复概述；写调查中真正关键的异常点。
+- 组件分析用表：角色 / 持久化 / C2 / 依赖，再展开。
+
+---
+
+
+## 3b. Thin overlay：`vuln`（漏洞技术分析 · 可选）
+
+> Issue #65 补充。结构参考公开「操作系统/组件漏洞技术分析」类报告目录，**只抽章节骨架**，禁止抄录截图/正文中的 PoC 报文、利用细节或未授权攻击步骤。  
+> **不是** 第 3 个默认厂商全文 flavor；仅在漏洞研究任务或用户明确要求时叠加。
+
+**叙事目标**：读者能快速看到「影响谁 → 如何确认/复现（授权内）→ 根因与补丁差异 → 如何缓解」。
+
+### 建议章节顺序
+
+```markdown
+## 1. 漏洞概述
+### 1.1 影响范围（版本/组件/配置前提）
+### 1.2 漏洞复现（授权环境；步骤可第三方重复；无武器化教程口吻）
+
+## 2. 漏洞分析
+### 2.1 崩溃 / 异常分析（Evidence：崩溃日志、触发条件）
+### 2.2 补丁分析（diff/守卫条件/修复点 — 挂 E-*）
+### 2.3 PoC 或触发器分析（仅授权范围内已有材料；协议/输入构造层次说明即可）
+
+## 3. 防护建议
+### 3.1 缓解措施（配置/缓解开关等）
+### 3.2 官方补丁与验证
+
+## 4. Evidence → Finding → Path（可并入各节或独立表）
+```
+
+### 硬约束
+
+- **MUST** scope/授权：未授权目标禁止复现与 PoC 扩展
+- **MUST** E/F/P：复现、崩溃、补丁结论均挂 evidence_ids
+- **MUST NOT** 把 `vuln` 当作 malware/APT 默认壳
+- **MUST NOT** 抄录外部报告/截图中的利用代码或完整攻击武器化步骤
+- IOC 表：仅当存在网络/文件指示器时出现；否则 n/a 或省略
+
+---
+## 4. 与现有任务模板的挂接
+
+| 任务模板（`security-report-templates.md`） | 叠加方式 |
+|------------------------------------------|----------|
+| 1. 逆向工程报告 | 默认 `flavor = null`，保留原「静态/动态/复现」骨架和导入表等硬门 Evidence；只有明确恶意样本才套 §2 |
+| 2. 渗透测试报告 | `flavor = null`；补 Base 中适用的 G1–G3，攻击路径对齐 §0 Path，不强制 IOC |
+| 3. CTF Writeup | `flavor = null`；保留原题目、解题思路和复现结构，不强制 IOC/ATT&CK |
+| 4. JS/Web 签名逆向 | `flavor = null`；使用原概述 → 定位 → 算法 → 复现骨架，不套 malware |
+| 恶意软件 / APT 专项 | 显式选 `malware` 或 `apt` 全文骨架 |
+
+**冲突解决**：§0 Evidence 链字段与 scope 门禁 **永远优先**；flavor 只改叙事顺序与专业外壳，不得删除 E/F/P。
+
+---
+
+## 5. 选型伪代码
+
+```
+if user_requests_kaspersky or apt or threat_campaign:
+    flavor = apt
+elif user_requests_huorong or vir_report or explicit_malware:
+    flavor = malware
+else:
+    flavor = null  # 原任务模板 + Base 中适用的元素
+overlay = null
+if user_requests_vuln_tech_report or cve_patch_analysis:
+    overlay = vuln  # thin only; never a third default full flavor
+emit(base_report)
+if flavor in (malware, apt):
+    emit(report with flavor outline)
+elif overlay == vuln:
+    emit(report with vuln thin outline)
+```
+
+---
+
+## 6. 完成检查清单（写报告末自检）
+
+- [ ] 已选 flavor 或显式「任务模板 + 最小集」
+- [ ] G1 概述存在且非空话
+- [ ] §0 E/F/P 字段完整
+- [ ] `malware` / `apt` 报告有 IOC 表（或 n/a+原因）
+- [ ] `malware` / `apt` 报告有可执行建议/处置
+- [ ] 无 flavor 的任务没有被套入 malware/APT 专属章节
+- [ ] uln 仅在漏洞任务启用；含概述/分析/防护骨架与 E/F/P；无未授权 PoC 武器化
+- [ ] 无厂商原文粘贴、无 placeholder/TODO
+- [ ] 导入表等硬门 Evidence 已进入静态/技术分析（若本任务做过二进制分析）
+
+---
+
+## 7. 来源登记
+
+- Kaspersky Securelist, “Updated MATA attacks industrial companies in Eastern Europe”: <https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829>（结构参考；访问日期：2026-08-11）
+- 火绒安全公开技术文章入口：<https://www.huorong.cn/>（站点入口；访问日期：2026-08-11。具体文章 URL、标题和访问日期应在实际引用时登记）
+- ATT&CK 技术编号仅作为规范化映射，必须由本次 Evidence 支撑；不得把外部报告中的 IOC 自动带入当前报告。
+
+---
+
+## 8. 非目标
+
+- 不维护 Mandiant/CrowdStrike/奇安信等额外全文模板（结构已由双 flavor + 可选 thin overlay 覆盖常见需求）。
+- 不把 `vuln` 升级为与 malware/apt 并列的默认全文 flavor。
+- 不自动爬取厂商站点填报告。
+- 不因 flavor 降低 Evidence 契约或授权范围。

package/bundled-skills/dotnet-reverse/SKILL.md

@@ -0,0 +1,197 @@
+---
+name: dotnet-reverse
+description: ".NET/C# binary reverse engineering: managed PE analysis, dnSpyEx debugging, de4dot deobfuscation (ConfuserEx/SmartAssembly/Babel), IL patching, NativeAOT targets, and analysis of red-team Sharp* tooling."
+risk: safe
+source: "https://github.com/zhaoxuya520/reverse-skill"
+source_repo: "zhaoxuya520/reverse-skill"
+source_type: community
+date_added: "2026-08-25"
+license: "MIT"
+license_source: "https://github.com/zhaoxuya520/reverse-skill/blob/main/LICENSE"
+---
+# .NET / C# 逆向作业规范
+## When to Use
+
+- Analyzing a .NET assembly, obfuscated C# product, or native-AOT binary.
+- Understanding the internals of Sharp* red-team tools before use or defense.
+
+
+## 适用范围
+
+当任务属于以下场景时优先使用本 skill：
+
+- 识别并逆向 .NET / C# 编译产物（托管 PE / .exe / .dll）
+- 分析红队 Sharp* 工具链（Rubeus、SharpHound、SharpShell 等）
+- 脱混淆 ConfuserEx / SmartAssembly / Babel / Eazfuscator / .NET Reactor 等壳
+- 逆向 .NET loader / info-stealer / RAT 的解密与 C2 逻辑
+- 对 C# 程序做 patch（改判断、改常量、keygen）
+- 分析 IL2CPP 之前的 Mono/Unity 托管层（注意：IL2CPP 编译后是 native，走 `reverse-engineering/` + seed-014）
+
+如果目标是纯 native 二进制（C/C++/Go/Rust 编译、无 CLR），请改用 `reverse-engineering/`、`ida-reverse/` 或 `radare2/`。
+
+## 核心原则
+
+- **先识别再下手**：先确认是 .NET 托管程序（PE 头 CLR + `#~` / `#Strings` 流 + mscoree `_CorExeMain`），再决定走 dnSpy 而非 IDA
+- **IL 优先于 C#**：dnSpyEx 的 C# 反编译器会丢失/扭曲信息（编译器生成的状态机、async/await、yield），关键判断与 patch 必须切到 **IL 编辑器**，C# 视图只用于快速浏览
+- **de4dot 先行**：遇到混淆器先 `de4dot` 脱一轮再做静态分析，否则字符串/控制流全是乱的
+- **MCP 联动**：环境里若注册了 dnSpy MCP（`dnspy_*` 工具），优先走 MCP 面做 decompile / IL inspection，避免来回切 GUI
+- **证据化输出**：脱混淆产物、提取的配置/C2/key、patch diff 都要落盘
+
+## 工具链映射
+
+| 能力 | 首选 | 备注 |
+|------|------|------|
+| 反编译 + 调试 + patch | **dnSpyEx** | 王牌，唯一带 IL 编辑器的 GUI；老 dnSpy 已停更，用 Ex 分支 |
+| 轻量 CLI / headless 反编译 | **ILSpy** (`ilspycmd`) | 适合批量、脚本化、Linux/macOS |
+| 脱混淆 | **de4dot** | ConfuserEx 全家桶、SmartAssembly 等主流壳的默认解 |
+| 混淆器识别 | **Detect It Easy (DIE)** / **file** | 先判断壳类型再决定 de4dot 参数 |
+| 编程化操作 IL | **dnlib** | 写 C# 脚本批量改 metadata / 字符串解密器 |
+| AI 直接操作 | **dnSpy MCP** | `dnspy_decompile` / `dnspy_inspect_il` 等工具面 |
+
+> 前置：Windows 主机装 dnSpyEx + de4dot（choco 或 release）；Linux/macOS 用 `ilspycmd` + `dotnet runtime`。详见 `references/sharp-tools.md` 的安装矩阵。
+
+## 六阶段工作流
+
+### 1. Identify（识别 .NET）
+
+确认目标是托管程序，别把 native PE 当 .NET 分析：
+
+```powershell
+# Windows
+file target.exe                       # "PE32 executable ... for MS Windows" 不够
+# 关键：看有没有 CLR
+powershell -c "[System.Reflection.AssemblyName]::GetAssemblyName('target.exe')"
+# 或
+dnSpyEx 直接拖进去 —— 能打开就是托管
+
+# 通用
+strings target.exe | grep -iE "mscoree|_CorExeMain|mscorlib|System\\."
+```
+
+**.NET 识别标志：**
+- PE 头 `Data Directory[14]` (CLR Runtime Header) 非零
+- `mscoree.dll` 导入 / `_CorExeMain` 入口
+- `#~`、`#Strings`、`#US`、`#GUID`、`#Blob` metadata 流
+- `mscorlib` / `System.Private.CoreLib` 字符串
+
+**NativeAOT 例外：** 编译成 native，没有 CLR 头，但有 `System.Private.CoreLib` 字符串和重构过的类型元数据 —— 这类走 `reverse-engineering/`（IDA/r2），本 skill 仅做识别提示。
+
+### 2. Detect（检测混淆器）
+
+```powershell
+# DIE 快速识别
+diec target.exe                        # Detect It Easy CLI
+# 或拖进 dnSpyEx，看是否大量乱码类名 / 控制流变形
+```
+
+常见混淆器 → 脱壳策略（详见 `references/obfuscators.md`）：
+
+| 混淆器 | 特征 | de4dot 处理 |
+|--------|------|------------|
+| ConfuserEx (1.0.0 / 2.x) | `<module>` anti-tamper、控制流变形、字符串加密 | `de4dot target.exe` 通常自动识别 |
+| SmartAssembly | `circular`/`string encoding`、资源压缩 | `de4dot target.exe` |
+| Babel.NET | 方法体加密、控制流 | `de4dot target.exe` |
+| Eazfuscator.NET | 字符串/资源加密 | `de4dot`，部分版本需手动 |
+| .NET Reactor | anti-tamper + necrobit | `de4dot`，新版可能失败需手动 |
+
+### 3. Deobfuscate（脱混淆）
+
+```powershell
+# de4dot 默认自动识别大多数壳
+de4dot target.exe -o target-clean.exe
+
+# 指定类型（自动识别失败时）
+de4dot --type cfze target.exe          # ConfuserEx
+de4dot --type sa target.exe            # SmartAssembly
+
+# 多层混淆 / de4dot 报 unknown
+de4dot --detect target.exe             # 看它识别成什么
+# 可能要先 patch anti-tamper 再 de4dot（见 references/obfuscators.md）
+```
+
+产出：`target-clean.exe`，后续分析用它。**保留原始样本**做对照。
+
+### 4. Static Analyze（静态分析）
+
+dnSpyEx 加载脱壳后样本：
+
+- **C# 视图**：快速浏览类结构、方法签名、字符串（用于定位）
+- **IL 视图**：关键判断、加密逻辑、状态机必须看 IL（右键 → Edit IL 或 IL 视图）
+- 找入口：`Main` / `Startup` / 模块初始化器 (`Module .cctor`)
+- 找关键逻辑：搜 `flag`、`password`、`verify`、`check`、`encrypt`、`http`、`Config`
+
+```text
+定位字符串 → 反向引用 → 找到使用它的方法 → IL 视图看判断逻辑
+```
+
+### 5. Dynamic（动态调试）
+
+dnSpyEx 调试器：附加进程 / 启动调试，在关键方法下断点，观察运行时：
+- 解密后的明文字符串（很多混淆器的字符串在运行时才解密）
+- C2 地址、配置解密结果
+- 异常驱动的控制流（anti-debug 常用 `try/catch` 隐藏真实路径）
+
+> .NET 动态调试比 native 友好得多 —— 能直接看到对象值、字符串内容。优先动态而非死磕静态。
+
+### 6. Patch（按需修改）
+
+```text
+dnSpyEx → 右键方法 → Edit Method (C#) 或 Edit IL
+  - 改判断：ldc.i4.0 → ldc.i4.1（false→true）
+  - 改常量：直接编辑字符串/数字
+  - 删除校验：nop 掉整段
+File → Save Module → 替换原文件
+```
+
+**IL patch 可靠性 > C# patch**：C# 重编译可能失败（缺引用、语法不对），IL 编辑几乎不会失真。详见 `references/common-workflow.md`。
+
+## 触发场景路由
+
+用户说这些时进入本 skill：
+- ".NET / C# 二进制逆向" / "C# 程序反编译"
+- "dnSpy 分析" / "dnSpyEx patch"
+- "ConfuserEx / SmartAssembly / Babel 脱混淆 / 脱壳"
+- "Sharp* 工具分析"（Rubeus / SharpHound / SharpShell）
+- ".NET malware / loader / info-stealer 逆向"
+- "C# 程序 patch / keygen / 修改判断"
+
+## 何时切出
+
+- IL2CPP 编译的 Unity 游戏 → `reverse-engineering/` + `seed-014_unity-il2cpp-reverse.md`（IL2CPP 是 native，不走 dnSpy）
+- NativeAOT 产物 → `reverse-engineering/`（同上，native）
+- 纯 native PE（无 CLR）→ `reverse-engineering/` / `ida-reverse/`
+- 需要符号/函数批量迁移到别的版本 → `binary-diff/`
+- 需要画攻击路径 / 调用链图 → `diagram-generator/`
+
+## 路由上下文
+
+**上游入口**: `skills/SKILL.md`（总控）、`routing.md`
+**下游出口**:
+- IL2CPP / NativeAOT（native）→ `reverse-engineering/`
+- 深度 native .so/.dll 段分析 → `ida-reverse/` / `radare2/`
+- 需要 AI 直接操作 dnSpy → 注册并联动 dnSpy MCP（见 `references/sharp-tools.md`）
+
+**同级关联模块**:
+- `reverse-engineering/languages-compiled.md`（.NET 简介指向本模块）
+- `apk-reverse/`（Xamarin/MAUI Android 逆向可切回本模块看 C# 层）
+
+## 参考文档
+
+- [references/obfuscators.md](references/obfuscators.md) — ConfuserEx / SmartAssembly / Babel / Eazfuscator / .NET Reactor 脱混淆详解 + anti-tamper 绕过
+- [references/common-workflow.md](references/common-workflow.md) — 完整工作流、IL patch 可靠性、字符串解密器提取、状态机识别
+- [references/sharp-tools.md](references/sharp-tools.md) — 红队 Sharp* 工具分析、工具安装矩阵、dnSpy MCP 集成、社区资源索引
+
+## 任务完成自检
+
+- [ ] 是否确认过 CLR / 托管身份（或已 SWITCH 出本 skill）？
+- [ ] 混淆样本是否先 de4dot / 等价脱壳再深分析？
+- [ ] 关键逻辑是否用 IL 视图验证（而非只看 C# 伪代码）？
+- [ ] 产物（clean 样本 / 配置 / patch diff）是否落盘且可复现？
+- [ ] 是否提供了下一步菜单或报告出口？
+
+## Limitations
+
+- NativeAOT and trimmed builds lose most metadata; expect native-style RE.
+- Some commercial obfuscators require manual unpacking steps.
+
+> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).

package/bundled-skills/dotnet-reverse/references/common-workflow.md

@@ -0,0 +1,171 @@
+# .NET 逆向通用工作流
+
+完整工作流细节、IL patch 可靠性、字符串解密器提取、状态机识别、dnlib 脚本化。
+
+## 完整工作流（端到端）
+
+```text
+1. Identify  → 确认是 .NET 托管程序（不是 native）
+2. Detect    → DIE / de4dot --detect 识别混淆器
+3. Deobf     → de4dot 脱混淆（保留原样本）
+4. Static    → dnSpyEx 浏览 C# 视图定位，IL 视图看关键逻辑
+5. Dynamic   → dnSpyEx 调试器在关键方法下断，看运行时明文
+6. Patch     → IL 编辑器修改，Save Module
+```
+
+每一步的产物要落盘：原样本 `target.exe` → 脱壳 `target-clean.exe` → patch 后 `target-patched.exe`。
+
+## IL patch vs C# patch 可靠性
+
+**核心结论：关键修改用 IL 编辑器，不要用 C# 编辑器。**
+
+| 维度 | C# 编辑器 (Edit Method C#) | IL 编辑器 (Edit IL) |
+|------|---------------------------|---------------------|
+| 编译失败风险 | 高（缺引用、语法、lambda 重写失败）| 几乎为零 |
+| 信息保真 | 编译器重新生成 IL，可能与原 IL 不同 | 原样替换，逐指令改 |
+| 适用 | 改个字符串、改个常量、简单逻辑 | 改判断、删校验、改控制流 |
+| async/await/状态机 | 经常编译失败或扭曲 | 直接改状态机字段，可靠 |
+
+dnSpyEx 的 C# 反编译器是基于只读反编译 + 尝试重编译，对编译器生成的代码（状态机、闭包、`yield`）重编译极易失败。IL 编辑器是逐指令编辑，所见即所得。
+
+### 典型 IL patch 模式
+
+```text
+改判断（if (check) → 永远 true）：
+  原: call bool Foo::Check()
+      brfalse.s SKIP
+  改: ldc.i4.1            ; push true
+      brfalse.s SKIP      ; 现在永远不跳，SKIP 不执行
+  或更直接：
+      ldc.i4.1
+      ret                 ; 方法直接返回 true
+
+改判断（if (check) → 永远 false）：
+  ldc.i4.0
+  ret
+
+删整段校验：
+  全部 nop，或改成 ret + 正确返回值
+
+改字符串常量：
+  C# 编辑器改字符串通常 OK（ldstr 直接换 token），但若字符串在资源/加密里则要改解密逻辑
+
+改数字常量：
+  ldarg / ldc 指令直接改操作数
+```
+
+## 状态机识别（async/await / yield）
+
+C# 的 `async/await` 和 `IEnumerator` yield 编译成**状态机**：编译器生成一个嵌套类，`MoveNext()` 里用 `state` 字段做 switch dispatch。dnSpyEx C# 视图会还原成 async，但反编译可能失真，IL 视图看 `MoveNext` 最准。
+
+```text
+async/await 的 MoveNext 结构：
+  switch(this.<>1__state) {
+    case 0: ... await 前的逻辑; this.<>1__state = 1; await MoveNext;
+    case 1: ... await 后的逻辑;
+  }
+
+要 patch async 逻辑：改 MoveNext 里的 state 转移或具体 case 里的判断。
+C# 编辑器改 async 几乎必失败 → 必须用 IL。
+```
+
+## 字符串解密器提取
+
+详见 `obfuscators.md`。这里补充 dnlib 脚本化批量解字符串：
+
+```csharp
+// dnlib 脚本：扫描所有字符串解密器调用，运行时还原后写回
+// 用法：dotnet script decrypt.csproj target.exe 0x06000012
+using System;
+using System.Reflection;
+using dnlib.DotNet;
+using dnlib.DotNet.Writer;
+using dnlib.DotNet.Emit;
+
+var module = ModuleDefMD.Load(args[0]);
+var decryptorToken = uint.Parse(args[1], System.Globalization.NumberStyles.HexNumber);
+
+// 找到解密方法，用反射调用它（需把 assembly 加载进 AppDomain）
+// 遍历所有方法，把 call Decryptor(token) 替换成 ldstr "解密结果"
+foreach (var type in module.GetTypes())
+    foreach (var method in type.Methods)
+    {
+        if (!method.HasBody) continue;
+        var instrs = method.Body.Instructions;
+        for (int i = 0; i < instrs.Count; i++)
+        {
+            // 识别 call 解密器模式，调用解密器拿明文，替换为 ldstr
+            // （此处省略反射调用解密器的样板，思路：加载原 assembly →
+            //   MethodInfo.Invoke 拿明文 → instrs[i] = OpCodes.Ldstr + operand=明文）
+        }
+    }
+
+var opts = new ModuleWriterOptions(module);
+module.Write("target-decrypted.exe", opts);
+```
+
+dnlib 是 .NET 元数据编程的事实标准，de4dot 内部就是用它。写自定义脱混淆脚本时首选。
+
+## 动态调试要点
+
+dnSpyEx 调试器对 .NET 程序比 native 友好得多：
+
+- **断点在方法入口**：右键方法 → Add Breakpoint
+- **看对象值**：断住后 Locals / Watch 窗口直接看对象字段、字符串内容
+- **内存写入**：可以直接改运行时变量值（Edit Value）
+- **异常断点**：Debug → Exceptions，勾选要断的异常类型 —— 混淆器常用异常驱动控制流，断异常能看到真实路径
+
+### 异常驱动控制流
+
+部分混淆器把正常逻辑塞进 `try`，用 `throw` + `catch` 做跳转。静态看 IL 像异常处理，实际是控制流：
+
+```text
+try { throw new CustomException(0x42); }
+catch (CustomException e) {
+    switch(e.Code) {
+        case 0x42: 真实逻辑A; break;
+        case 0x43: 真实逻辑B; break;
+    }
+}
+```
+
+下异常断点（断 `CustomException`），跟踪 `Code` 值流转，比硬啃 IL 快。
+
+## 模块初始化器（Module .cctor）
+
+`.NET` 模块的静态构造函数（`<module>` 的 `.cctor`）在 assembly 加载时最先执行，混淆器常把 anti-tamper / 解密初始化放这里。分析顺序：
+
+```text
+1. 先看 <module>.cctor（Module .cctor）—— 解密/反调试初始化
+2. 再看 Program.Main / Startup
+3. anti-tamper 在 .cctor 里 → 先 patch .cctor 再脱壳
+```
+
+## 提取配置 / C2 / Key 的通用模式
+
+红队工具和 loader 常把配置加密嵌在资源或字段里，运行时解密：
+
+```text
+定位流程：
+1. strings 看有无明文 URL/IP（混淆后通常没有）
+2. 找 byte[] 字段 + 解密方法（AES/XOR）
+3. 动态断在解密方法的返回点，dump 解密后的明文
+4. 常见：AES-256-CBC with Key==IV（Codegate 2013 模式，见 reverse-engineering/tools.md .NET 段）
+```
+
+参考 `references/sharp-tools.md` 里红队工具的具体配置结构。
+
+## 与 reverse-engineering 的边界
+
+- **IL2CPP / NativeAOT** → 编译成 native，没有 CLR 元数据 → 走 `reverse-engineering/`（IDA/r2），本 skill 仅做识别
+- **托管 .NET**（标准 C# exe/dll、Mono/Unity 托管层、Xamarin）→ 本 skill
+- **混合（native loader + .NET payload）** → loader 部分走 `reverse-engineering/`，dump 出 .NET payload 后切本 skill
+
+## 落盘产物清单
+
+每次 .NET 逆向任务建议产出：
+- `target-original.exe`（原样本，不动）
+- `target-clean.exe`（de4dot 脱壳后）
+- `notes.md`（识别的混淆器、解密器 token、关键方法地址、配置/C2/key）
+- `target-patched.exe`（patch 后，如需要）
+- `il-diff.txt`（patch 前后 IL 对照，如做 patch）