analyzing-bootkit-and-rootkit-samples

analyzing-bootkit-and-rootkit-skill 概览

analyzing-bootkit-and-rootkit-samples 是一项恶意软件分析技能，适用于入侵发生在操作系统启动之前的场景：被感染的 MBR/VBR 代码、UEFI 持久化，以及能躲过常规安全工具检测的 rootkit 行为。它适合在你需要检查启动扇区、固件模块或反 rootkit 迹象，而不是分析典型用户态载荷时使用。

这项 analyzing-bootkit-and-rootkit-samples 技能最适合事件响应人员、逆向工程师和威胁猎手，尤其是那些已经怀疑系统在 OS 层之下存在持久化机制的人。它的核心目标，是把原始磁盘、固件或内存证据转化为一份站得住脚的判断：是否存在 bootkit 或 rootkit、它如何保持持久化，以及下一步该重点检查什么。

这项技能适合做什么

这项技能聚焦于 Malware Analysis 工作流中的启动前恶意软件分析：MBR 提取、VBR 检查、UEFI 审核、Secure Boot 校验，以及面向 rootkit 的初筛。当常规 AV 或 EDR 看不出问题、重装系统也清不干净、或者固件完整性看起来可疑时，它会特别有用。

它为什么与众不同

和通用提示词不同，analyzing-bootkit-and-rootkit-samples 提供的是围绕关键证据构建的工作流：磁盘扇区、固件体积（firmware volumes）和底层检查工具。这使它比那种默认把问题当作可执行文件加沙箱分析的宽泛恶意软件提示，更适合处理持久化更强、层级更低的调查。

最适合哪些读者

如果你需要的是一份分析 analyzing-bootkit-and-rootkit-samples 的实用指南，而不是理论概述，就选这个技能。它适合能够采集镜像或转储、阅读反汇编结果，并将发现与已知的引导扇区和固件模式进行对比的分析人员。

如何使用 analyzing-bootkit-and-rootkit-skill

将它安装到你的技能集里

按照 analyzing-bootkit-and-rootkit-samples 的仓库安装流程完成安装，然后把你的 agent 指向 skills/analyzing-bootkit-and-rootkit-samples 下的技能路径。先加载技能定义和配套参考文件，确保工作流、命令和工具假设保持一致。

先读这些文件

先从 SKILL.md 开始，再查看 references/api-reference.md 和 scripts/agent.py。SKILL.md 会说明这个技能在什么情况下应当触发；references/api-reference.md 展示具体的分析命令；scripts/agent.py 则揭示了这个技能预期解析或自动化哪些内容。如果你需要了解许可或来源信息，也要查看 LICENSE。

提示词里要提供什么

一条高质量的 analyzing-bootkit-and-rootkit-samples 使用提示，应该明确写出证据类型、平台和目标。例如：“分析这个 MBR 转储中的 bootkit 迹象，将其与干净的 Windows MBR 对比，并说明分区表和 boot signature 是否正常。”如果你有固件，请补充转储来源、厂商，以及是否涉及 Secure Boot 或 SPI 访问。

更容易产出好结果的工作流

一次只给这个技能一种证据：先 MBR/VBR，再固件，再内存痕迹。要求它输出具体内容，例如可疑的持久化机制、可疑偏移，以及验证步骤。这样能让分析更聚焦，也更方便你用自己的工具交叉验证结果。

analyzing-bootkit-and-rootkit-skill 常见问题

analyzing-bootkit-and-rootkit-samples 只适合高级场景吗？

大体上是的。它是为启动前恶意软件和 rootkit 持久化设计的，因此并不是普通木马、脚本或浏览器恶意软件的默认选择。如果入侵在重装后仍然存在、能躲过扫描器，或者会修改固件状态，这个技能就很合适。

它和通用恶意软件提示词相比有什么区别？

通用提示词通常默认你上传的是可以在沙箱里检查的文件。analyzing-bootkit-and-rootkit-samples 则默认面对的是底层证据，比如磁盘扇区、引导代码、UEFI 模块和硬件安全检查。这个差别非常关键，因为分析路径、工具和验证点完全不同。

我需要专门工具才能从中受益吗？

是的，如果你能使用 dd、ndisasm、UEFI 工具和 chipsec，通常能获得最好的结果。即使你不直接运行每一条命令，这个技能在规划分析和解释结果方面仍然有价值；但如果能配合真实的磁盘或固件数据，它的效果会更强。

这适合刚入门 Malware Analysis 的人吗？

如果你已经理解基础恶意软件概念，那么它是可用的；但它并不是那种“完全不需要上下文也能上手”的入门型技能。如果你是新手，建议先从干净的证据采集开始，再让这个技能用持久化、隐藏和验证这几个角度来解释每一项发现。

如何改进 analyzing-bootkit-and-rootkit-skill

给这个技能更好的证据

提升效果最大的方式，是提供更精确的输入：准确的设备镜像、固件厂商、OS 版本、疑似感染点，以及你观察到的异常。针对 Malware Analysis 使用 analyzing-bootkit-and-rootkit-samples 时，一个好的提示应包含 hashes、offsets、boot signature 状态、Secure Boot 状态，以及问题影响的是 MBR、VBR 还是 UEFI。

要求对比，而不只是结论

不要只问“这是不是恶意的？”而要要求它和干净基线做对比，指出可疑的字节范围，并解释为什么某个引导扇区或模块看起来被修改了。这样能促使技能把发现讲清楚，方便你用反汇编或固件提取来验证。

注意常见失败模式

最常见的错误，是把一个其实属于磁盘或固件持久化的问题，笼统地丢给一句“帮我检查这个 malware”。另一个失败模式是把多个层级的证据混在一个提示里，这会让根因更难拆分。必要时，把任务拆成多个独立分析。

第一轮之后继续迭代

利用第一次结果来缩小下一轮请求范围：比如要求更深的反汇编、按模块逐个检查 UEFI，或者给出确认疑似 rootkit 的检查清单。如果输出仍然不确定，就补充更多原始上下文，并让技能明确说明还需要哪类证据才能确认或排除该发现。