anti-reversing-techniques

anti-reversing-techniques 技能總覽

anti-reversing-techniques skill 是一個協助逆向分析的工具，適合在已獲授權的分析情境中，辨識、解釋並處理常見軟體保護機制。它特別適用於惡意程式分析、CTF 題目、資安研究、加殼樣本初步分流，以及防禦工具測試等情境，尤其是在 anti-debugging、anti-VM、packing 或 obfuscation 已經阻礙分析進度時。

這個技能實際上能幫你做到什麼

真正要解決的問題，不是「學會所有 anti-reversing 技巧」，而是把「一個會對正常分析工具產生抗性的受保護樣本」轉化成可執行的分析計畫：先判斷可能用了哪些保護、選擇較安全的調查步驟，並避免把時間浪費在錯誤的脫殼或除錯路線上。

最適合的使用者

這個 anti-reversing-techniques skill 特別適合：

• 遇到 debugger 偵測或 packed entry stub 的逆向工程師
• 正在分流可疑 binary 的惡意程式分析師
• 在合法競賽環境中實作或繞過 anti-debug 檢查的 CTF 玩家
• 驗證保護機制是否干擾評估流程的安全稽核人員

如果你的需求是一般性的安全程式設計、應用程式加固策略，或是沒有實際樣本與具體行為的惡意程式入門理論，這個技能的幫助就相對有限。

主要差異化價值

相較於泛泛地問「這個 binary 要怎麼逆向？」的提示方式，anti-reversing-techniques 提供的是一張結構化地圖，幫你快速掌握：

• 在分析開始前，哪些輸入資訊最重要
• 應先檢查哪些常見 anti-debugging 與環境偵測
• Windows 常見的偵測模式
• 以 packer 與 OEP 為核心的工作流程提示
• 放在 references/advanced-techniques.md 的進階延伸內容

因此，它最有價值的場景是：你需要的是一個可立即上手的分析框架，而不是一篇冗長的學術式總覽。

安裝或使用前的重要限制

這個技能具有明確的雙重用途（dual-use）性質。它只適用於已獲授權的情境：例如惡意程式分析、自有軟體、正式授權的滲透測試、學術研究，或 CTF 環境。若你的使用情境是未經許可去繞過第三方軟體保護，那這不只是錯誤工具，也通常代表整個工作流程本身就不適當。

如何使用 anti-reversing-techniques skill

anti-reversing-techniques 的安裝情境

上游技能並沒有在 SKILL.md 內提供 repository 內部的安裝指令，因此目錄使用者通常會從父層 skill repository 加入：

npx skills add https://github.com/wshobson/agents --skill anti-reversing-techniques

安裝完成後，當你的任務涉及受保護 binary、debugger 規避、packer，或環境偵測時，再載入這個 skill。

在 repository 中先看哪些檔案

如果你想用最快的方式上手，建議依照這個順序閱讀：

1. plugins/reverse-engineering/skills/anti-reversing-techniques/SKILL.md
2. plugins/reverse-engineering/skills/anti-reversing-techniques/references/advanced-techniques.md

SKILL.md 涵蓋的是實務上的基礎框架。當樣本看起來有 pack、虛擬化，或明顯刻意對抗反組譯時，再往 references/advanced-techniques.md 深入。

這個技能需要什麼輸入資訊

如果你提供的是具體分析資訊，而不是籠統地問「所有 anti-reversing techniques 是什麼」，輸出品質會好非常多。實用的輸入包括：

• binary 路徑或樣本類型
• OS 與架構
• 是否懷疑已加殼或未加殼
• 實際觀察到的 debugger 行為
• 已找到的 strings、imports 或 APIs
• 樣本在 VM 中是否會退出、卡住、當掉，或行為改變
• 你的工具鏈，例如 x64dbg、IDA、Ghidra、WinDbg、DIE 或 PEiD

弱的輸入範例：

• 「幫我逆向這個受保護的執行檔。」

強的輸入範例：

• 「請分析一個已授權的 64-bit Windows PE。它在 x64dbg 下會立刻退出，imports 包含 IsDebuggerPresent 和 CheckRemoteDebuggerPresent，而且在 DIE 裡看起來像是 packed。我需要一個初步分流計畫，包含 anti-debug 檢查、可能的 packer 識別，以及應該從哪裡找 OEP。」

怎麼把模糊目標變成高品質 prompt

最有效的 prompt，通常會同時包含範圍、症狀，以及你希望得到的輸出格式。實用模板可包含：

• 這個 binary 是什麼
• 你被授權做哪些事
• 目前已經觀察到什麼
• 你能用哪些工具
• 你下一步需要什麼結果

範例：
「請在已授權的 malware-analysis lab 中使用 anti-reversing-techniques skill。我有一個 Windows PE 樣本，會偵測我的 VM，而且在 debugger 下行為不同。請給我一個有優先順序的工作流程，幫我辨識 anti-VM 與 anti-debug 技術、可能需要檢查的 API 或指令模式，以及在進行動態脫殼前較安全的下一步。」

這種寫法會比寬泛提問更有效，因為這個 skill 最擅長的是把「觀察到的症狀」對應到「可能的技術家族」。

典型的 anti-reversing-techniques 使用流程

一個實務上可行的 anti-reversing-techniques usage 流程通常是：

1. 先確認授權與範圍
2. 判斷平台與可能的保護類型
3. 先做靜態分流，檢查 imports、strings、sections 與 packer 訊號
4. 在深入 trace 前，先檢查常見的 anti-debug 分支
5. 判斷應該先脫殼，還是先做行為插桿／監測
6. 只有在常見模式無法解釋行為時，再查進階參考資料

這個順序很重要。很多人會把時間浪費在一開始就全面反組譯，卻沒有先確認樣本是不是已經 packed，或其實只是被簡單的 debugger 檢查卡住。

什麼時候該看進階參考

當你看到以下跡象時，就應該打開 references/advanced-techniques.md：

• 使用像 Themida、VMProtect 或 Enigma 這類商業保護器
• 出現壓縮或加密的 entry stub
• 因 anti-disassembly 技巧導致 control flow 失真
• 很可能需要找出並 dump Original Entry Point
• anti-VM 邏輯在做過基本環境清理後仍然存在

這份參考資料特別適合用來辨識 packer 與規劃手動脫殼方法，尤其是以 OEP 為核心的推理流程。

實務上的工具前提

這個 skill 最自然對應的是 Windows 逆向工作流程。它提到的常見 PE 工具與模式包括：

• DIE / Detect It Easy
• Exeinfo PE / PEiD
• x64dbg
• 像 Scylla 或 ImpREC 這類 import reconstruction 工具

如果你的主要工作對象是 macOS Mach-O 或 Linux ELF binary，核心概念仍然有幫助，但你要預期自行轉換範例與 API 對應。

哪些做法能明顯提升輸出品質

如果你想從 anti-reversing-techniques guide 拿到更有價值的結果，建議一併提供：

• 第一個可觀察到的失敗點
• 在 VM 內執行時行為是否改變
• 可疑 API、PEB 檢查、timing 檢查或 exception 行為
• section 名稱、entropy 線索，或 packer signature
• 你需要的是解釋、初步分流，還是完整工作流程

這些資訊能讓 skill 分辨你遇到的是 anti-debugging、anti-VM、packing，還是單純的 crash 行為；因為在最初階段，它們看起來常常很像。

常見的導入阻礙

最大的阻礙通常不是安裝，而是：

• 沒有具體樣本或行為就想直接使用 skill
• 預期它能對每種 protector 一次給出完整脫殼指令
• 忽略法律與授權邊界
• 以為進階參考可以取代實際 debugger 證據

如果你要的是一個開箱即用、全自動化的工具，那這不是。它是一個提供分析判斷支援的 skill，對象是分析人員，而不是自動解題系統。

anti-reversing-techniques skill 常見問題

anti-reversing-techniques 適合初學者嗎？

可以，但前提是你已經懂基本逆向工具與術語；如果是從零開始，就不太適合。這個 skill 預設你知道怎麼看 imports、怎麼跑 debugger，也能描述 binary 的行為。它最有幫助的階段是「我手上有樣本，但需要一個分析計畫」。

這個 skill 只適用於惡意程式分析嗎？

不是。它也適合 CTF、軟體保護研究、脫殼練習，以及在保護機制妨礙合法測試時的 anti-reversing-techniques for Security Audit。但整體工作流程仍然以 binary analysis 為核心，不是拿來做政策審查或產品選型。

它和一般 prompt 有什麼不同？

一般 prompt 很容易只產出一串泛泛的 anti-debugging 清單。anti-reversing-techniques skill 更有用，因為它是依照分析者輸入、工作流程順序，以及你在初步分流時最常遇到的保護類型來組織內容。

這個 skill 包含進階 packer 指引嗎？

有，但切分得很合理。主要的 SKILL.md 聚焦在常見模式；而 references/advanced-techniques.md 則處理 packer、OEP 尋找、手動脫殼，以及更偏門的 anti-analysis 技巧。

什麼情況下不該使用 anti-reversing-techniques？

以下情況不建議使用 anti-reversing-techniques：

• 你沒有授權
• 你的任務是一般安全程式設計，而不是 binary analysis
• 你需要的是全自動脫殼器，而不是分析指引
• 你的問題主要是 web、cloud 或 source-code 稽核

只安裝 anti-reversing-techniques 就夠了嗎？

光安裝並不是主要決策點。你還需要：

• 合法且已授權的分析情境
• 一個 binary 或具體症狀集合
• 可以觀察執行期行為的工具
• 願意在初步分流後反覆迭代

少了這些條件，這個 skill 仍然可以解釋概念，但輸出品質會明顯下降。

如何提升 anti-reversing-techniques skill 的使用效果

先描述症狀，不要一開始就要技巧清單

想讓 anti-reversing-techniques 產生更好結果，最有效的方法是先描述你觀察到了什麼，再詢問方法。像是「進入後 debugger 直接關閉」或「樣本只在 VM 裡失敗」，都遠比「列出 anti-debug 技巧」更有操作性。

一開始就提供 binary 背景

請盡早提供：

• 檔案格式與架構
• 目標 OS
• 若已知，使用的 compiler 或 protector
• 檔案是否看起來像是 packed
• 每個觀察結果是由哪個工具得出

這能幫助 skill 避免把不相干的手法混在一起，也能讓答案更貼近你的實際環境。

要求列出有優先順序的假設

好的 prompt 會要求一份有排序的短名單：

• 最可能的保護機制
• 各自的支持證據
• 下一步該驗證什麼
• 哪些結果可以證實或排除該假設

這比單純要求一大串 anti-reversing techniques 目錄要實用得多。

用少量 artifact 片段強化 prompt

你不需要貼出整個 binary。只要給一些小型 artifact，就能大幅提升品質：

• 可疑 imports
• debugger log 行
• section table 異常
• 值得注意的 strings
• 失敗分支附近的短段 disassembly

這些細節往往足以判斷你面對的是 API-based checks、PEB inspection、timing logic，還是 packer stub。

要避免的常見失敗模式

使用者常在以下情況得到很弱的結果：

• 要求繞過步驟，卻不描述樣本
• 省略平台細節
• 在 dual-use 任務中略過授權背景
• 把 packing 和 anti-debugging 混為一談
• 用 Windows 色彩很重的範例，卻期待 Linux 或 macOS 的具體答案

多數不理想的輸出，問題都出在輸入資訊不足，而不是 skill 本身。

拿到第一輪答案後要再迭代

先用第一輪回應去補齊缺失證據，再帶著新發現重新提問，例如：

• 新識別出的 imports
• anti-VM 指標已被證實或排除
• 是否已找到 OEP
• dumping 或 import fixing 是否成功

anti-reversing-techniques skill 在第二輪通常會更有價值，因為可搜尋與判斷的範圍已經縮小了。

將核心 skill 與進階參考搭配使用，但要有選擇性

不要預設就直接跳進 references/advanced-techniques.md。只有在樣本明顯看起來已 pack、被虛擬化，或刻意對抗一般反組譯時，再去使用它。這樣能讓工作流程更快，也能避免把過度進階的解釋硬套到其實很單純的案例上。

改善 anti-reversing-techniques for Security Audit 的使用方式

若你的情境是 anti-reversing-techniques for Security Audit，請把 prompt 重心放在稽核成果上：

• 是哪種保護阻礙了評估
• 你需要的是偵測、解釋，還是重現
• 客戶交付文件適合多深的技術細節
• 目標是讓分析人員取得存取能力、驗證保護有效性，還是做風險溝通

這樣一來，輸出就會從逆向工程的小知識，轉成資安團隊真正能採用的證據與結論。