文件初步勘察（triage）

何时使用 / 何时不用

• 用：刚拿到未知样本的第一步；判断文件真实类型与架构；任何分析开始前的哈希存证；熵值评估是否加壳/加密
• 不用：已确定文件类型、只需深挖结构（直接走对应格式技能 [[re-format-pe]] / [[re-format-elf]] / [[re-format-macho]]）；只需函数逻辑（走反编译技能）
• 不用：样本已确认带壳、目标直接是脱壳（走 [[re-anti-analysis]] 域）

工具准备

所有工具先验证再使用。参考 [[re-analyze/platform-tips]] 最高原则（静态分析可免沙箱，但涉及运行一律沙箱）。

file —— 文件类型判定

• Linux: apt install file / dnf install file / pacman -S file（多数发行版自带）
• macOS: brew install file（自带 /usr/bin/file）
• Windows/WSL: WSL 内用 Linux 版；Windows 本机用 Git for Windows 自带 file 或第三方版
• 验证: file --version