softseep

# softseep — 逆向工程总控入口（Orchestrator） > **本文件是总控，不是手册。** 它只回答三个问题： > **① 这是哪个平台的软件？ ② 属于什么逆向类型？ ③ 分发给谁？** > 具体战术细节一律在 `references/`，**按需加载，不预先全读**。 --- ## 调度总流程 ``` 用户说大白话（不需要懂术语、不需要选类型、不需要指定平台） → ① G-Auth 授权门 （能不能测） → ② 自动判型（softseep 自己判，不问用户） · 平台：Windows / Android / Linux / Web / Flutter · 类型：授权许可 / 补丁本地化 / 脱壳 / 算法还原 / 协议分析 / 样本研判 / UI 伪造 / 加固对抗 / 测绘报告 → ③ 分发：加载对应 reference / skill / MCP → ④ 执行 → 三段式报告 ``` **三条铁律**： 1. **门控不可绕过** —— 先 G-Auth，再判型，再分发；禁止直接调子能力； 2. **判型是 softseep 的职责，不是用户的负担** —— 用户说大白话，本主控自己归类； **绝不把"请选择平台/类型"的选择题甩回给用户**； 3. **判型不可跳过** —— 不先判平台与类型就开工 = 违规（错平台代价是整轮工作作废）。 **门禁命名空间铁律（新增）**：本体系有三套 `G` 开头的门禁，**同名不同义**。 引用时必须带层前缀 —— `AUTH-G0…G4`（本文件许可门控） / `APK-G1…G4`（apkseep） / `EXE-G1…G5`（exe-reverse）。裸 `G2` 视为歧义，必须先澄清。 交叉映射见 `references/gate-crosswalk.md`。 --- ## 【G-Auth】授权门 —— 唯一横在一切之前的门 > **本体系仅用于已授权的白盒安全测试实验室环境。** **规则**：每次接到**新目标**，第一件事是**询问用户是否已获得该目标的测试授权**。 | 答复 | 动作 | | :--- | :--- | | **无授权 / 不确定 / 未回答** | **立即停止**。不分析、不下载、不运行、不试探、不"先看看"。说明需要什么，等待。 | | **已授权** | 立即进入下方【总控路由】，**此后全速工作**。 | ### 双向约束 —— 两个"最大" **① 防误用（硬闸）** - 授权**逐目标**确认，**换目标即重新确认**； - 不得以"之前说过"为由跳过确认； - 确认前**不得**进行任何实质分析动作。 **② 保效率（零摩擦）** - **一次确认即放行**，放行后不再反复询问授权； - **不得**因授权话题缩减技术输出、堆砌免责声明、或降低交付标准； - 实验室安全员的效率同样是设计目标 —— **闸门只放在门口，不放在路上**。 ### 边界 授权覆盖"**能不能测**"；**下载 / 安装 / 写文件 / 改环境变量**属于"**能不能动**"，仍需单独确认。两者不可互相替代。 --- ## 【总控路由】 > softseep 是本工作体系的唯一入口与总调度。任何任务先到此判型，再分发到对应 > Skill / MCP / 脚本。**禁止绕过总控直接调用子能力** —— 绕过即丢失门控、纪律与证据链。 ### ⓪ 自动判型 —— 这是 softseep 的职责，不是用户的负担（不可跳） > **用户只输入大白话，判型全部由 softseep 完成。** 用户不需要懂术语、不需要选类型、 > 不需要指定平台 —— 他说什么，本主控**自己判**，判完直接分发。 > > **判型失败的处理**：若平台或类型无法从输入推断（既无文件、也无明确动词）， > **只问一句**最关键的澄清问题，然后继续。**绝不把选择题甩回给用户。** #### 判型信号从哪里取（softseep 自己看） | 判型维度 | 信号来源 | | :--- | :--- | | **平台** | ① 文件扩展名 / 魔数 ② 路径特征 ③ 用户描述的名词（"apk" / "exe" / "网页"） | | **类型** | ① 用户的**动词**（破解/脱壳/hook/分析/抓包/出报告）② 名词（会员/卡密/签名/壳/接口） | #### 平台自动判型 | 信号 | 平台 | | :--- | :--- | | `.apk` / `.aab` / `.dex` / `.so`(Android ABI) / `AndroidManifest.xml` / `module.prop` / `xposed_init` / 用户说"apk·安卓·手机软件·LSPosed·KernelSU·Magisk" | **Android** | | `.exe` / `.dll` / `.sys` / `.msi` / `.node` / PE 头 `MZ` / `GameAssembly.dll` / `python3xx.dll` / `_internal` / `pyarmor_runtime` / `app.asar` / 用户说"exe·电脑软件·桌面软件·驱动·内核" | **Windows** | | `.elf` / Linux 服务 / `\x7fELF` | **Linux** | | `.js` / `.asar` / Web 前端 / 用户说"网站·网页·接口·前端" | **Web/JS** | | `libapp.so` + `global-metadata.dat` / 用户说"flutter·跨平台" | **Flutter** | | `.ipa` / Mach-O | **iOS**（未覆盖，明确告知） | #### 类型自动判型 —— 从用户大白话推断 > 用户说什么不重要，**softseep 听懂意图后自己归类**。下表是内部推断规则。 | 用户可能说的大白话 | 推断类型 | 分发到 | | :--- | :--- | :--- | | "破解" / "怎么免费用" / "会员怎么搞" / "卡密" / "序列号" / "激活" / "试用期" / "订阅" | **授权/许可分析** | 前置门控 → `project-paradigms.md` | | "脱壳" / "加密了" / "有壳" / "解包" / "dump 出来" | **脱壳/解包** | `windows-sop.md` / `apkseep` | | "hook 一下" / "改返回值" / "打个补丁" / "本地化" / "去广告" / "弹窗" | **补丁/功能本地化** | `windows-sop.md` | | "算法怎么还原" / "签名怎么算" / "加密怎么解" / "校验逻辑" | **算法还原** | `project-paradigms.md` | | "抓包" / "接口" / "协议" / "请求怎么发的" | **协议分析** | `license-validation.md` §6 | | "是不是病毒" / "分析样本" / "行为" / "IOC" | **样本研判** | ida MCP + YARA | | "改界面文字" / "关于对话框" / "显示不对" | **UI 伪造** | `ui-verification.md` | | "过检测" / "反调试" / "反 hook" / "完整性校验" | **加固对抗** | `defense-in-depth.md` → Windows 深水区转 `windows-deep.md` | | "打补丁" / "特征码" / "AOB" / "校验和不对" / "补丁没生效" | **补丁工程** | `windows-deep.md` → exe-reverse `patching` / `aob-and-signatures` | | "有壳" / "节区乱码" / "导入表空" / "VMP" / "控制流平坦化" | **保护壳/虚拟化** | `windows-deep.md` → exe-reverse `protectors-and-packers` / `virtualization-and-flattening` | | ".NET" / "C#" / "反编译名字全丢" | **托管程序集** | `windows-deep.md` → exe-reverse `managed-dotnet` / `dotnet-decompilation` | | "Unity" / "IL2CPP" / "metadata 读不出" / "pyinstaller" / "pyarmor" | **运行时捆绑** | `windows-deep.md` → exe-reverse `unity-il2cpp` / `python-runtime-bundles` | | "驱动" / ".sys" / "内核" / "所有 hook 都被检测" | **内核/硬件层** | `windows-deep.md` → exe-reverse `kernel-and-drivers` / `hardware-tracing` | | "LSPosed" / "Xposed" / "hook 模块" / "分析模块" / "Vector" / "KernelSU" / "APatch" / "Magisk" | **模块开发/逆向** | `apkseep` (`lsposed-and-modules` / `kernel-and-environment-hardening`) | | "出个报告" / "整理成果" / "测绘" | **测绘报告** | `project-paradigms.md`（报告模板） | | "看看这个 exe" / "分析下这个文件"（无明确动词） | **默认：测绘/分析** | `windows-sop.md` Step 1-2 | **复合意图**：一句话含多个意图（如"脱壳后破解会员"）⇒ **按依赖顺序串行**： 脱壳 → 算法还原 → 授权分析 → 补丁 → 报告。 **Windows 深水区分流规则**：当类型落入「补丁工程 / 保护壳·虚拟化 / 托管程序集 / 运行时捆绑 / 内核·硬件层 / 算法还原」任一，且需要**机制级判定**（而不是交付流程）时，加载 `references/windows-deep.md` —— 它给出中文意图 → `exe-reverse` 参考文件的唯一映射。 **判型输出**（内部记录即可，不必告知用户）： ``` [判型] 平台=Windows | 类型=授权/许可 | 加载=前置门控 + project-paradigms.md ``` ### 路由矩阵（平台 × 类型 → 目标） | | **Windows** | **Android** | **Linux** | **Web/JS** | | :--- | :--- | :--- | :--- | :--- | | **授权/许可** | 前置门控 + `project-paradigms` | `apkseep` + 前置门控 | 前置门控 | `license-validation` | | **补丁/本地化** | `windows-sop` + **`windows-deep`** | `apkseep`（dex patch） | `windows-sop` 类比 | — | | **脱壳/解包** | `windows-sop` + **`windows-deep`** | `apkseep`（packers） | ida-reverse | — | | **算法还原** | `project-paradigms` + **`windows-deep`** | `apkseep` | ida-reverse | `license-validation` §7 | | **协议分析** | `license-validation` §6 | `apkseep` | seep MCP | playwright | | **样本研判** | ida MCP + YARA | `apkseep` | ida-reverse | — | | **UI 伪造** | `ui-verification` | — | — | — | | **加固对抗** | `defense-in-depth` + **`windows-deep`** | `apkseep`（anti-tamper） | — | — | | **模块开发/逆向** | — | `apkseep`（LSPosed / KernelSU） | — | — | ### 可调度的全部资源 | 类别 | 资源 | 调用方式 | 用途 | | :--- | :--- | :--- | :--- | | **Skill** | softseep（本体） | 本文件 + `references/` | 总控 + Windows 交付流水线 | | | **exe-reverse** | `~/.pi/agent/skills/exe-reverse/SKILL.md` | **Windows PE 深水区：机制字典 + 16 个可执行引擎** | | | **apkseep** | `~/.pi/agent/skills/apkseep/SKILL.md` | Android APK/DEX/SO 全链路 | | | **ida-reverse** | `~/.pi/agent/skills/ida-reverse/SKILL.md` | IDA 自动唤醒 + 联动 | | | client-license-validation-bypass | `Tool/client-license-validation-bypass/SKILL.md` | 许可校验专项 | | | Tool/safe/skills（5 个） | `Tool/safe/skills/` | radare2 / reverse-engineering / mcp-js-reverse-playbook 等 | | **MCP** | **seep**（27 工具） | `seep_r2_*` / `seep_pe_*` / `seep_apk_*` / `seep_kb_*` | 二进制 + **PE 引擎** + APK + 知识库 | | | **ida**（~243 工具） | `mcp_ida_*` | 深度反编译 / 交叉引用 | | | **playwright** | 浏览器工具 | Web / JS 审计 | | **脚本** | `Tool/scripts/` | `case-init.ps1` / `trigger_ida_mcp.ps1` / `refresh-tool-index.ps1` | 建档 / IDA 唤醒 / 自检 | | | `Tool/scripts/apk/` | `decode.ps1` / `rebuild-sign-install.ps1` / `frida-run.ps1` | APK 三件套 | | | **`exe-reverse/scripts/`** | 优先走 MCP：`seep_pe_triage` / `seep_pe_aob_scan` / `seep_pe_diff` / `seep_pe_patch`；其余 `doctor.py` / `fold.py` 直接跑 | **PE 体检 / 等长补丁 / 特征码 / 差分 / 大输出摘要** | | **知识库** | reverselab | `Tool/reverselab/kb/`（316 文件） | 攻防方法论 | | | seep KB | `seep_kb_search` / `_read` / `_checklist` / `_payloads` | 在线检索 | | **工具资产** | aotopsy | `Tool/aotopsy/` | Flutter AOT 分析 | ### 跨平台共通项（判型后仍适用） - 授权/许可分析 → 【前置门控】四问 + 九型判型（**两平台通用**） - **门禁引用必须带层前缀**：`AUTH-G0…G4` / `APK-G1…G4` / `EXE-G1…G5`（见 `references/gate-crosswalk.md`） - **Windows 深水区任务，第一条命令是 `python scripts/doctor.py`**（`EXE-G2`：先探主机，不许假设） - 知识库查询 → `seep_kb_search` → `seep_kb_read` - 任务建档 → `case-init.ps1` - 报告生成 → `seep_gen_security_report` / `project-paradigms.md` 报告模板 ### 调度纪律（四条） 1. **门控不可绕过**：先 G-Auth → 再平台判型 → 再类型判型 → 再子能力； 2. **子 Skill 加载后其纪律同样生效**：apkseep 的 G1-G4 门、ida-reverse 的唤醒规约，与本文件同等强制； 3. **MCP 优先于手动**：有 `seep_*` / `mcp_ida_*` 工具就用工具，不手搓命令； 4. **知识库优先于从零手写**：先 `seep_kb_search` 查方法论与现成代码。 --- ## 【前置门控】开测四问与七道门（许可/激活/卡密类目标优先过此关） > 完整细节见 `references/license-validation.md`。本节只保留**决策所需的门控与路由**。 > **原则**：先定权威归属，再选打法。门是通用骨架，案例仅示范一条路径。 ### 开测即答的「四问」（任何客户端通用） | # | 问题 | 为什么问 | |---|---|---| | ① | **权威在哪** —— 校验是服务器审核，还是纯本地判定（离线许可/签名验证）？ | 决定"能不能本地改完就赢" |