Shellcode 分析

何时使用 / 何时不用

用：拿到的是"裸代码 blob"（无 PE/ELF/Mach-O 文件头）——漏洞利用载荷、文档/脚本解出的第二层载荷、释放器写进内存的代码
用：载荷带自解码（XOR/ROL 解码循环、msfvenom 类编码器生成）——静态看是乱码，需要先还原再分析
用：需要"无环境跑起来"验证载荷行为（架构不匹配/无宿主进程/不想在真实进程触发）——Unicorn 模拟
用：回答"这段代码调用哪些 API、想干什么"（API hash 解析）
不用：有文件格式头的完整程序（那是 [[re-binary-core]] 域）
不用：只需初勘结论（file/hash/熵，那是 [[re-triage]]）
注意：模拟执行属动态执行，默认在沙箱内进行（[[re-analyze/platform-tips]] 最高原则）；纯静态提取/解码分析可免沙箱，但把解码产物落盘后真实执行验证时必须进 [[re-sandbox]]

所有工具先验证再使用。本技能静态解码可免沙箱；模拟执行默认沙箱内进行（[[re-analyze/platform-tips]] 最高原则）。