opencode-skills-collection 4.0.43 → 4.0.45

package/bundled-skills/dotnet-reverse/references/obfuscators.md

@@ -0,0 +1,145 @@
+# .NET 混淆器脱混淆详解
+
+主流 .NET 混淆器的识别、脱壳、anti-tamper 绕过。核心工具：**de4dot**（自动识别大多数壳）+ **dnSpyEx**（手动 patch）+ **dnlib**（脚本化）。
+
+## 总决策表
+
+| 混淆器 | de4dot type | 典型特征 | 自动脱壳 | 手动要点 |
+|--------|-------------|---------|---------|---------|
+| ConfuserEx 1.x/2.x | `cfze` | anti-tamper、控制流变形、字符串加密、反调试 | ✅ 多数自动 | 新版需先 patch anti-tamper |
+| ConfuserEx 3.x / 私改 | `cfze` | 同上 + 自定义 protector | ⚠️ 部分 | dump 运行时 / dnlib |
+| SmartAssembly | `sa` | 字符串编码、资源压缩、方法调用隐藏 | ✅ 自动 | 资源解压 |
+| Babel.NET | `babel` | 方法体加密、控制流、字符串 | ✅ 自动 | — |
+| Eazfuscator.NET | `eaz` | 字符串/资源加密、表达式混淆 | ⚠️ 部分 | 字符串解密器 |
+| .NET Reactor | `reactor` | necrobit (代码段加密) + anti-tamper | ⚠️ 新版难 | dump + 重建 metadata |
+| Themida .NET | — | 外壳 + 虚拟化 | ❌ de4dot 不行 | dump 内存，走 native 思路 |
+| Agile.NET / CliSecure | `agile` | 方法体加密 | ✅ 自动 | — |
+
+## de4dot 标准用法
+
+```powershell
+# 自动识别（多数情况够用）
+de4dot target.exe -o target-clean.exe
+
+# 显式指定 type（自动识别失败）
+de4dot --type cfze target.exe -o target-clean.exe
+
+# 先探测壳类型
+de4dot --detect target.exe
+
+# 批量
+de4dot *.exe
+
+# 只解字符串，不动控制流（最小干预）
+de4dot --strtyp delegate --strtok METHOD_TOKEN target.exe
+```
+
+de4dot 的 `--strtyp` / `strtok` 模式：只解字符串解密器（指定解密方法 token），保留原控制流。适合"只想看明文字符串但不想碰 anti-tamper"的场景。
+
+---
+
+## ConfuserEx（最常见）
+
+### 特征识别
+
+- 入口模块 `<module>` 类带 `[MethodImpl(NoInlining)]` 的 anti-tamper 检查
+- 大量 `Dictionary<string, T>` 的字符串解密器调用
+- 控制流平坦化（switch dispatch + state 变量）
+- 资源里嵌 `.cmp` 压缩资源
+- dnSpyEx C# 视图：类名/方法名乱码（`\uXXXX` 或无意义字符），方法体里满屏 `int num = ...; switch(num)`
+
+### 脱壳流程
+
+```powershell
+# 1. 标准脱壳
+de4dot target.exe -o target-clean.exe
+
+# 2. 如果 de4dot 报 "unknown" 或脱壳后打不开 → 新版/私改 ConfuserEx
+#    先确认 anti-tamper：
+dnSpyEx 打开 → 找 Module .cctor 或 Main 里的完整性校验
+```
+
+### anti-tamper 绕过（新版 ConfuserEx 常见）
+
+ConfuserEx 的 `anti tamper` 会在运行时校验方法体哈希，被改就崩。de4dot 通常能处理旧版，新版需手动：
+
+```text
+方法 A — dnSpyEx 直接 patch 校验函数：
+  1. 找 anti-tamper 校验方法（通常在 <module> 的静态构造里调用）
+  2. IL 编辑：把校验方法体改成 ret（直接返回）
+  3. 保存 → 再喂给 de4dot
+
+方法 B — 运行时 dump：
+  1. 用 MegaDumper / ExtremeDumper 跑起来 dump 内存中的 assembly
+  2. dump 出来的已经解密，再用 de4dot 清理残留
+```
+
+### 控制流还原后
+
+de4dot 会把平坦化的 switch dispatch 还原成正常 if/while。如果没完全还原（看到残留 state 机），可再跑一次 de4dot 或手动跟 IL。
+
+---
+
+## SmartAssembly
+
+```powershell
+de4dot --type sa target.exe -o target-clean.exe
+```
+
+特征：
+- 字符串用 `SmartAssembly.Runtime.Strong` 系列编码
+- 资源压缩（`{assembly}.Resources`）
+- 方法调用隐藏（`ProcessCaller` / 间接 call）
+
+de4dot 对 SmartAssembly 兼容性最好，基本一键搞定。
+
+---
+
+## .NET Reactor（necrobit）
+
+`.NET Reactor` 的 **necrobit** 把真实方法体加密存到资源，运行时解密注入，原方法体是空壳。de4dot 对老版本有效，新版本（4.x+）常失败。
+
+```text
+当 de4dot 失败时：
+1. 让程序跑起来（dotnet target.exe 或直接双击）
+2. MegaDumper / ExtremeDumper dump 进程内存 → 导出解密后的 assembly
+3. 用 de4dot 清理 dump 产物的残留混淆
+4. 如果 metadata 损坏，用 dnlib 重建（见 common-workflow.md）
+```
+
+---
+
+## 字符串解密器手动提取
+
+混淆器把字符串加密，运行时调用解密方法还原。de4dot 多数能自动识别解密器，识别失败时手动：
+
+```text
+1. dnSpyEx 找到解密方法（通常签名固定：static string Decrypt(int) 或 Decrypt(string, int)）
+   - 特征：被大量调用、参数是数字常量、返回 string
+2. 记下方法 token（如 0x06000012）
+3. de4dot 指定解密器：
+   de4dot --strtyp delegate --strtok 0x06000012 target.exe -o target-clean.exe
+```
+
+如果连解密方法本身也被混淆（控制流平坦化），需要先脱控制流再定位解密器。
+
+## anti-debug 常见手法
+
+| 手法 | 位置 | 绕过 |
+|------|------|------|
+| `Debugger.IsAttached` 检查 | 任意方法 | IL 改 `ldc.i4.0; ret` 或 patch getter |
+| `Debugger.IsLogging` | — | 同上 |
+| 时间检测 (`DateTime.Now` 差值) | 方法入口 | patch 掉差值比较 |
+| `CheckRemoteDebuggerPresent` P/Invoke | — | nop 掉调用 |
+| 异常驱动控制流（try/catch 路径选择）| 主逻辑 | 不能简单 nop，要分析 catch 块真实路径 |
+
+> .NET anti-debug 比 native 简单 —— 多数是托管 API 调用，dnSpyEx IL 改一行即可。
+
+## de4dot 失败时的退路
+
+1. **de4dot --detect** 看识别结果，对照上表
+2. **运行时 dump**（MegaDumper / ExtremeDumper / Process Hacker 导出模块）
+3. **dnlib 脚本** 手动解（见 common-workflow.md 的 dnlib 段）
+4. **动态优先**：跑起来在解密点下断，直接看明文，不脱壳也能拿情报
+
+社区参考：Washi 博客《misconceptions-about-dotnet》（IL 分析的常见误区）、看雪 .NET 逆向版块、Guided Hacking《Top 5 .NET RE Tools》。

package/bundled-skills/dotnet-reverse/references/sharp-tools.md

@@ -0,0 +1,164 @@
+# 红队 Sharp* 工具分析 & 工具安装矩阵 & dnSpy MCP
+
+## 红队 Sharp* 工具分析
+
+红队工具大量用 C# 写（Sharp* 系列），逆向它们是常见场景：理解检测逻辑、改特征、提取内嵌配置。
+
+### 常见 Sharp* 工具速查
+
+| 工具 | 功能 | 逆向关注点 |
+|------|------|-----------|
+| **Rubeus** | Kerberos 攻击（AS-REP roast / Kerberoast / S4U / pass-the-ticket）| Rubeus 工程结构固定，找 `Interop.*` P/Invoke 段看 native 调用 |
+| **SharpHound** | BloodHound 数据采集器 | LDAP 查询逻辑、采集的属性集合 |
+| **SharpShell / SharpWS** | 远程执行、横向 | WMI / WinRM 调用、命令混淆 |
+| **Seatbelt** | 信息收集 | 收集项清单、判断逻辑 |
+| **SharpRoast** | Kerberoasting | 票据请求/解析 |
+| **Inveigh / SharpSploit** | 中间人 / 通用利用框架 | 反射加载、API 调用链 |
+
+### 通用分析套路
+
+```text
+1. dnSpyEx 打开（通常没混淆，少数团队会加 ConfuserEx）
+2. 看 Program.Main 或入口命令分发（Rubeus 是 switch(command) 结构）
+3. 找目标命令的实现类/方法
+4. 看 P/Invoke 段（Interop.* 命名空间）—— native API 调用在这里
+5. 提取内嵌资源（有些工具嵌配置/模板）
+6. 如需改特征（EDR 规避）：改命令字符串、API 调用、字符串常量
+```
+
+### Rubeus 结构示例
+
+Rubeus 用命令分派，每个子命令一个类。找 Kerberoasting 逻辑：
+
+```text
+入口: Rubeus.CommandLineParser → 解析 args
+分派: switch(command) → "kerberoast" → 执行 Ask.TGS(...)
+P/Invoke: Rubeus.Interop.Lsa* / Native.cs → native Kerberos API
+关键: LsaCallAuthenticationPackage (KERB_RETRIEVE_TKT_REQUEST)
+```
+
+改特征（规避）：把命令字符串 `"kerberoast"` 改成自定义名、把 `Rubeus` banner 字符串改掉、改 P/Invoke 调用顺序。
+
+### 内嵌配置提取
+
+很多 loader/工具把 C2、密钥、证书加密嵌在资源或字段：
+
+```powershell
+# dnSpyEx 里看 Resources（资源树）
+# 或命令行
+powershell -c "[System.Reflection.Assembly]::LoadFile('target.exe').GetManifestResourceNames()"
+# 找到资源后 dnSpyEx 右键 → 提取 / Save
+```
+
+运行时解密的配置 → 动态断在解密方法返回点 dump 明文（见 `common-workflow.md`）。
+
+---
+
+## 工具安装矩阵
+
+### Windows（首选，dnSpyEx 是 GUI）
+
+```powershell
+# 方式 A：Chocolatey
+choco install dnspy ilspy de4dot detect-it-easy
+
+# 方式 B：手动下载 release（推荐，版本可控）
+# dnSpyEx:    https://github.com/dnSpyEx/dnSpy/releases
+# de4dot:     https://github.com/de4dot/de4dot/releases
+# ILSpy:      https://github.com/icsharpcode/ILSpy/releases
+# DIE:        https://github.com/horsicq/Detect-It-Easy/releases
+# dnlib:      dotnet add package dnlib  (NuGet)
+```
+
+### Linux / macOS（无 dnSpyEx GUI，用 CLI）
+
+```bash
+# ILSpy CLI 反编译
+dotnet tool install -g ilspycmd
+ilspycmd target.exe -p -o outdir/         # 反编译到目录
+
+# de4dot 跨平台（需 mono 或 dotnet）
+# 从 release 下载 de4dot 产物的 .dll，用 dotnet 跑
+dotnet de4dot.dll target.exe -o target-clean.exe
+
+# dnlib（脚本化，需 dotnet SDK）
+dotnet new console -o dnclean && cd dnclean
+dotnet add package dnlib
+
+# DIE CLI (diec)
+# Linux: 从 https://github.com/horsicq/Detect-It-Easy 装
+diec target.exe
+```
+
+### .NET runtime 前置
+
+```bash
+# Linux
+sudo apt install dotnet-runtime-8.0        # 或 6.0/7.0 看目标
+# macOS
+brew install --cask dotnet-sdk
+```
+
+> dnSpyEx（带 IL 编辑器 + 调试器）只有 Windows GUI 版。Linux/macOS 做 .NET 逆向只能用 `ilspycmd` 反编译 + `dnlib` 脚本 patch，没有等价的交互调试 GUI。需要 patch 时优先上 Windows。
+
+---
+
+## dnSpy MCP 集成
+
+社区已有多个 dnSpy MCP 项目，把 dnSpy 的反编译/IL 检查暴露成 MCP 工具，AI 可直接调用 —— 和 reverse-skill 的 MCP 哲学完全一致。
+
+### 主流 dnSpy MCP 项目
+
+| 项目 | 特点 | 适配 |
+|------|------|------|
+| **soufianetahiri/dnspy-mcp** | 核心 MCP Server，暴露 decompile、IL inspection 等工具 | Claude Code / Cursor |
+| **AgentSmithers/DnSpy-MCPserver-Extension** | 作为 dnSpyEx 扩展运行，深度集成 GUI | dnSpyEx 内加载 |
+| **malwarecakefactory/dnspy-mcp-extension** | 33 个工具，覆盖 triage → deobfuscation 全流程 | 全流程自动化 |
+
+### 注册到 Claude MCP 配置
+
+按对应项目 README 装 dnSpyEx 扩展后，在 `~/.claude/mcp.json` 注册（具体 command/args 以项目 README 为准）：
+
+```json
+{
+  "mcpServers": {
+    "dnspy": {
+      "command": "dotnet",
+      "args": ["path/to/dnspy-mcp.dll"]
+    }
+  }
+}
+```
+
+注册后本 skill 的 AI 联动路径：用户说"分析这个 .NET"→ 路由到 `dotnet-reverse/` → 优先调 `dnspy_decompile` / `dnspy_inspect_il` 工具面 → 不行再切 GUI。
+
+> dnSpy MCP 不是 reverse-skill 内置 bootstrap 能力，需用户手动按项目 README 安装扩展并注册。后续可考虑加进 `bootstrap-manifest.json`。
+
+---
+
+## 社区资源索引
+
+### 强烈推荐
+
+- **Washi 博客** — .NET 逆向大佬：https://blog.washi.dev/posts/misconceptions-about-dotnet/
+  - 核心观点：**不要过度依赖 dnSpy 的 C# 反编译器，要熟悉 IL 编辑器**（与本项目 IL 优先原则一致）
+- **dnSpyEx** — dnSpy 的活跃维护分支：https://github.com/dnSpyEx/dnSpy
+- **de4dot** — .NET 脱混淆：https://github.com/de4dot/de4dot
+- **dnlib** — 元数据编程：https://github.com/dnlib/dnlib
+
+### 实战教程
+
+- Medium《De-obfuscating and reversing a .NET/C# spyware》— dnSpy + de4dot 实战 info-stealer 脱混淆
+- YouTube《dnSpy Patch .NET EXEs & DLLs》— 手把手 patch + keygen
+- 看雪论坛 .NET 逆向版块 — 搜 ".net 逆向" / "dnSpy" / "ConfuserEx" 有大量实战帖、Nuitka 逆向、免杀讨论
+- Guided Hacking《Top 5 .NET Reverse Engineering Tools》— dnSpy 仍排第一
+- StackExchange / Reverse Engineering — `DynamicMethod` 调试等进阶问题
+
+### 本仓库已有 .NET 资源（联动）
+
+- `reverse-engineering/tools.md` `.NET Analysis` 段 — dnSpy/ILSpy 工具速查 + Codegate 2013 两阶段 XOR+AES-CBC 模式
+- `reverse-engineering/field-notes.md` `.NET` 段 — 工具速记
+- `reverse-engineering/awesome-re-resources.md` — de4dot 入选
+- `field-journal/seed-014_unity-il2cpp-reverse.md` — Unity IL2CPP（native 侧，与 .NET 托管层互补）
+
+.NET 逆向深度内容统一收敛到本模块，`reverse-engineering/` 里保留速查索引即可。

package/bundled-skills/edr-bypass-re/SKILL.md

@@ -0,0 +1,248 @@
+---
+name: edr-bypass-re
+description: "Reverse engineer EDR internals (user-mode hook tables, ETW, AMSI) and study bypass techniques such as direct syscalls, Hell's Gate, and call-stack spoofing. Lab-only red-team research."
+risk: offensive
+source: "https://github.com/zhaoxuya520/reverse-skill"
+source_repo: "zhaoxuya520/reverse-skill"
+source_type: community
+date_added: "2026-08-25"
+license: "MIT"
+license_source: "https://github.com/zhaoxuya520/reverse-skill/blob/main/LICENSE"
+---
+> **⚠️ AUTHORIZED USE ONLY**
+> This skill is for educational purposes or authorized security assessments only.
+> You must have explicit, written permission from the system owner before using this tool.
+> Misuse of this tool is illegal and strictly prohibited.
+
+> **Mandatory confirmation gate**
+> Before running any command that probes, exploits, changes, persists on, extracts data from, or attempts credential access against a target:
+> 1. Ask the user to state the exact target URL, IP, account, or resource.
+> 2. Ask the user to confirm written authorization and the permitted scope.
+> 3. Show the exact command(s) and explain their expected effect.
+> 4. Wait for explicit confirmation in the current conversation.
+>
+> Without that confirmation, remain read-only and provide defensive guidance only. Prefer a sandbox, disposable VM, or controlled lab.
+
+## When to Use
+
+- Studying EDR telemetry surfaces in an authorized red-team lab.
+- Evaluating detection coverage against known bypass technique classes.
+
+## 适用范围
+
+红队 / 对抗模拟在已获授权的目标主机投递 implant 并躲避现代 EDR 时使用本 skill。
+
+1. **红队 / Purple team / 对抗演练** — 客户希望评估 SOC 与 EDR 的真实检测能力
+2. **自研 implant / C2 框架研发** — 开发针对自家产品测试的载荷，需要绕过自家或目标 EDR
+3. **EDR 产品评估** — 在合规边界已确认的前提下，客观评测某款 EDR 的检测覆盖
+4. **CTF / 攻防演练的 Windows 端突破** — 比赛中需要在加固主机上稳定执行
+
+**不适用场景**：
+
+- 杀毒厂商对自家产品做完整 RE 给客户出商业评估报告（找厂商正式合作）
+- 未授权目标的免杀对抗（违法）
+- 普通病毒木马的免杀（本 skill 关注红队 OPSEC，不教恶意代码写法）
+
+### 与其他 skill 的分工
+
+| 场景 | 用什么 |
+|------|--------|
+| 全链路攻防（从外网打到域控） | `attack-chain/` |
+| 内网横向 / AD 攻击 | `pentest-tools/network-attack-defense.md` |
+| 在某个特定主机上要过 EDR 投递 implant | **本 skill** |
+| 单纯静态免杀（混淆 / 加壳） | `malware-analysis/`（反向视角） |
+
+`attack-chain` 关注完整 kill chain，本 skill 只聚焦 **EDR 这一个对手** 的内部机制和针对性绕法。
+
+## 核心原理
+
+```text
+EDR 的四个主要监控面               红队的对策
+─────────────────────              ─────────────────────
+用户态 ntdll hook       ◄──►   unhook (Peruns Fart / fresh ntdll)
+                                  间接 syscall / Hell's Gate
+                                  hardware breakpoint Blindside
+
+kernel callback         ◄──►   call stack spoof
+(Ps/Cm/Ob 系列)                   走合法触发链（不直接绕，配合上游隐身）
+
+ETW telemetry           ◄──►   EtwEventWrite patch
+(Microsoft-Windows-Threat-          NtTraceControl 关 provider
+ Intelligence 等)                  AmsiContext 同步处理
+
+AMSI 扫描               ◄──►   AmsiScanBuffer patch (mov eax,0x80070057; ret)
+(amsi.dll)                       hardware breakpoint 旁路
+                                  reflective 加载副本 amsi.dll
+```
+
+关键认知：
+
+- **EDR 不是黑盒** — 关键 hook / callback / provider 都能用 IDA + windbg 逆出来
+- **绕过技术要组合使用** — 单独一个 unhook 解决不了 ETW 告警，单独 AMSI patch 解决不了 syscall hook
+- **顺序很重要** — 先 ETW patch → 再 AMSI patch → 再 unhook；顺序错了 EDR 先收到 unhook 告警
+- **现代 EDR 已经把 ETW + kernel callback 当主战场**，单纯用户态 unhook 早已不够
+
+## 工作流
+
+### Step 1：识别目标主机的 EDR
+
+```powershell
+# 列出常见 EDR / AV 驱动
+Get-Service | Where-Object {$_.Name -match 'CSAgent|SentinelAgent|elasticendpoint|esets|ekrn|MsMpEng|wdsvc|cyserver|sysmon|aswbidsagent'}
+
+# 列出加载的 minifilter
+fltmc filters
+
+# 列出已注册的内核 callback（需 windbg + 内核调试 / 或用 PChunter / DRVHV）
+# !object \Callback
+# !pnpcallback / Process / Thread / Image
+```
+
+EDR 指纹表见 `references/hook-survey.md` 顶部。
+
+### Step 2：从 EDR DLL 提 hook 表
+
+1. attach 到一个被注入 EDR 用户态组件的进程（任何已落地进程）
+2. 在 windbg 中 dump 当前 `ntdll.dll` 的 `.text` 段
+3. 与磁盘上干净的 `C:\Windows\System32\ntdll.dll` 做 diff
+4. 不一致的地方就是 hook 点
+
+或者直接用 `pe-sieve`：
+
+```powershell
+pe-sieve64.exe /pid 1234 /shellc 3 /modules 3 /dir hooks_dump
+```
+
+详细方法见 `references/hook-survey.md`。
+
+### Step 3：选绕过技术组合
+
+| 防御点 | 推荐绕法 |
+|--------|---------|
+| ntdll inline hook | indirect syscall + 动态 SSN (Halo's Gate) |
+| ETW-TI provider | EtwEventWrite head patch |
+| AMSI（PowerShell / .NET） | AmsiScanBuffer patch 或 HWBP |
+| kernel callback | call stack spoof + 走 legit gadget |
+| Sysmon ProcessCreate | PPID spoof + unbacked memory |
+
+### Step 4：在 implant 中实现
+
+代码骨架见 `references/unhook-techniques.md` 与 `references/telemetry-blinding.md`。
+
+### Step 5：本地 sandbox 验证
+
+```powershell
+# 在隔离环境部署目标 EDR 试用版（Defender 默认即可起步）
+# 启用 Sysmon + olaf-config
+sysmon64.exe -i sysmonconfig.xml
+
+# 跑 implant，看是否触发以下告警源：
+#   - Defender AMSI
+#   - ETW-TI
+#   - Sysmon Event ID 1/7/8/10
+#   - EDR 控制台
+```
+
+### Step 6：投递
+
+- 文件落地路径用合法软件目录
+- PPID spoof 到 explorer.exe
+- 配合 `attack-chain` 中的 initial access 节
+
+## 典型场景
+
+### 场景 1：投递 cobalt-strike-alike beacon 过 Defender + Sysmon
+
+```text
+目标：Windows 11 Enterprise + Defender (云查杀开) + Sysmon (olaf 配置)
+要求：beacon 落地后能 callback 且不触发任何告警
+
+组合拳：
+  1. shellcode 加密存储，运行时解密
+  2. AMSI patch（如果走 PowerShell 投递）
+  3. EtwEventWrite patch（消 ETW-TI）
+  4. 间接 syscall + Halo's Gate（消 ntdll hook 告警）
+  5. PPID spoof 到 explorer.exe
+  6. sleep 阶段用 Ekko / Foliage 加密自身内存
+```
+
+### 场景 2：在已落地的低权限 shell 上做 EDR sleep mask
+
+```text
+前置：已经通过 phishing 拿到 medium IL shell，EDR 正在监控
+风险：长时间驻留容易被内存扫描发现 beacon 特征
+
+解法：
+  1. 不再申请新 RWX 内存
+  2. sleep 期间用 Ekko：
+       - WaitForSingleObjectEx + CreateTimerQueueTimer
+       - 在定时器里加密自身 .text + 把堆栈刷成全 0
+  3. wake 时用 ROP 还原
+  4. 配合 call stack spoof 让 RtlCaptureStackBackTrace 看不到信标地址
+```
+
+## 按需自举（On-Demand Bootstrap）
+
+### 工具依赖
+
+| 工具 | 用途 | 可自动安装 |
+|------|------|-----------|
+| pe-sieve | 检测进程中的 hook / 注入 | ✓ |
+| API Monitor v2 | 动态观察 API 调用与 hook | 半自动（手动下载） |
+| SysWhispers3 | 生成直接 / 间接 syscall stub | ✓（git clone + python） |
+| Hell's Gate POC | 动态 SSN 解析参考实现 | ✓（git clone） |
+| windbg + IDA | 静态逆 EDR DLL / 内核 callback | ✗（自己装） |
+| Sysmon + olaf config | 本地验证环境 | ✓ |
+
+### 自举命令
+
+```powershell
+powershell -NoProfile -ExecutionPolicy Bypass -File "<SKILL_ROOT>\skills\scripts\bootstrap-reverse.ps1" -Capability @('pe-sieve','syswhispers3','sysmon') -StartServices
+```
+
+## 路由上下文
+
+**上游入口**：
+
+- `reverse-engineering/` — 需要先理解 EDR DLL / 驱动的实现
+- `attack-chain/` — 决定在 kill chain 的哪个阶段引入本 skill
+
+**同级关联**：
+
+- `pentest-tools/network-attack-defense.md` — 内网横向时如何与本 skill 联动
+- `malware-analysis/` — 反向视角，看检测方怎么写规则
+- `field-journal/` — 每次实战后回写经验
+
+**下游交付**：
+
+- 生成报告时引用 MITRE ATT&CK **T1562 (Impair Defenses)**、T1562.001 (Disable or Modify Tools)、T1562.006 (Indicator Blocking)、T1055 (Process Injection)、T1027 (Obfuscated Files or Information)
+
+## 法律边界声明
+
+- 仅限合法授权的红队 / 对抗演练 / 自有产品测试
+- 操作前必须取得书面授权（SoW / 测试合同 / SRC 范围说明）
+- 不得用于未授权目标，不得超出授权范围
+- 发现高危问题立即向客户报告，遵循负责任披露
+- 所有报告中真实目标信息必须脱敏（IP / 主机名 / 域名 / 凭证占位）
+
+## 参考资料
+
+- 详细 hook 调研：`references/hook-survey.md`
+- unhook / syscall 技术：`references/unhook-techniques.md`
+- ETW / AMSI / 反取证：`references/telemetry-blinding.md`
+- MITRE ATT&CK T1562：<https://attack.mitre.org/techniques/T1562/>
+
+
+## 任务完成自检（声称完成前 MUST 通过）
+
+- [ ] 我是否执行了工作流中的每一步（而不是只阅读）？
+- [ ] 我是否基于 `tool-index` 使用了真实工具路径？
+- [ ] 我是否产出了可复现证据（命令/脚本/截图/报告）？
+- [ ] 我是否完成并回写了 RULES 要求的 Checklist 项？
+
+## Limitations
+
+- Lab environment only: deploying bypasses against monitored production systems is out of scope and illegal without authorization.
+- Technique descriptions age quickly as EDR vendors adapt.
+
+> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).