协议逆向

完整工作流

按顺序执行；每步产物（pcap/密钥/解密脚本/解析脚本）记录证据路径 + sha256，供报告引用（见 [[re-ioc]]（能力：threat-intel））。

1. 捕获：[[re-netcap]]（能力：network-capture） —— 先定抓包点（本机/网关/中间人），沙箱内捕获优先（[[re-sandbox]]（能力：sandbox-setup） 网络隔离：INetSim / fake DNS / 断网，防真外联，见 [[re-analyze/platform-tips]] 最高原则）；tcpdump 过滤只留目标流再存盘，HTTPS/TLS 提前用 mitmproxy CA 做准备
2. 加密识别：[[re-crypto-id]]（能力：crypto-identification） —— 判断流量是明文还是密文：熵 >7.0 / 无结构 / 无 ASCII → 密文；再做常量表指纹（AES S-box / CRC 表）、XOR/ROL/ROR 单字节模式、常见算法流程特征
3. 密钥：[[re-crypto-keys]]（能力：key-extraction） —— 静态优先（strings / 交叉引用找硬编码、资源文件、导入表 Crypt* 附近），静态没有再上动态（[[re-memdump]]（能力：memory-dump） 默认转储后搜 16/32 字节熵块与可打印口令），PBKDF 类按派生函数还原
4. 解密：[[re-crypto-decrypt]]（能力：crypto-decryption） —— 定位解密函数（交叉引用密文输入点）→ 反编译还原算法 → 重写为独立 python 脚本 → 用已知明文/已知头部验证 → 把捕获的密文流解成明文流量流
5. 状态机重建：[[re-proto-rev]]（能力：protocol-recovery） —— 明文流量才做这一步：分组统计与聚类（长度/方向/时序）→ 定位固定头（magic/长度字段）→ 字段推断（类型/长度/CRC）→ Scapy 写解析器 → 状态机推演（握手/心跳/结束）

前置检查：密文未解密不要进入状态机重建（会拿乱码当结构）；明文流量跳过步骤 2-4。

何时用哪个原子技能（选择树）

按输入特征/目标分支：