Windows 软件逆向（exe-reverse）

Windows 软件逆向的维护记录。

• 上游:reverse-skill-lab/exe-reverse 的 skills/exe-reverse/¹,一个 skill 的仓库,MIT,许可证原文不随附。LINUX DO 社区支持。仓库里没有 hooks、agents、commands、mod、MCP,没有组件要转写或丢弃
• commit:钉在 af9603c(2026-10-25)²,当天抓取

为什么只收一页概要

和用户分诊后定的(2026-10-26):脚本重、更新快,且判断「要么完整收纳、要么退成一页诚实的概要」—— 只保留三页判断层,既不是能单独触发的子 skill、又只是约 40 篇里的 3 篇,属于半截,所以并成一页自包含的概要,逐层细节全部指上游。

• 脚本重:17 个脚本约 9000 行 Python(peutil.py 1034 行、capabilities.py 1368 行……),外加 evals、evidence、测试、CI 和仓库根的 6 个维护工具
• 更新快:8 个 commit 全挤在 2026-10-24 到 10-25 两天内,一天好几版 —— 比收纳规范里「几天一个版本」还快
• 一页概要的好处:干净、诚实、零维护,还把「还有多少没收」(约 40 篇 reference、17 个脚本约 9000 行)写进正文;代价是门禁条文(O1–O5、G1–G5)和 38 条坑的全文不在本站留字,要读去上游

文件对应

一个来源一页。

跳过了什么

一句话:除了领域、分类梗概、纪律梗概、边界,其余全部指上游。

• 全部脚本:scripts/ 17 个(doctor.py、hwprobe.py、capabilities.py、pe_triage.py、peutil.py、pepatch.py、aob_scan.py、pe_diff.py、plan.py、preflight.py、fold.py、trace_reduce.py、scan_leaks.py、dart_snapshot_strings.py、gate_probe.js、make_fixture_pe.py 等)
• 全部技术 reference:references/ 约 40 篇全不逐条收 —— PE 结构、汇编惯用法、recon、patching、脱壳、转储修复、动态调试、注入 hook、授权机制、算法恢复、网络授权、符号执行、虚拟化平坦化、.NET、Unity IL2CPP、Python 打包、Flutter/Dart、内核驱动、硬件追踪、hypervisor 观测、CPU 厂商分叉、CRT 启动、编译器指纹、工具链、验证、脱敏、pitfalls.md(38 条坑)、routing.md 等。概要只提炼其中的分类轴和纪律梗概
• 门禁与坑的全文:O1–O5、G1–G5 的完整条文、症状索引(50 多行)、pitfalls.md 的 P1–P38,概要里只保留「有这套纪律、它长这样」的梗概,全文读上游
• evals / evidence / 测试 / CI:evals/、evidence/、tests/、.github/workflows/ci.yml
• 仓库根的维护工具:check_repo.py、check_refs.py、check_routing.py、check_commands.py、check_budget.py、build_scripts.py,以及 CONTRIBUTING.md、lint/mypy/pytest 配置
• 人读入门连载 docs/primer/(exe1/3/4/5):文章线这次判不收(找来的连载、还缺一篇、和主线无关)。以后想要人读版,落 docs/notes/ 新开逆向分类
• docs/tool-verification/:上游测量通行的证据记录,不随 skill 分发
• README、banner、LICENSE、.gitattributes 等仓库其余

翻译之外的改动

• 能力名:叫 Windows 软件逆向,文件名 exe-reverse.md 对齐上游 slug;迷你 skill,一页自包含
• 概要是综合、不是翻译:分类三轴从 SKILL.md 的十三问和路由表提炼,纪律梗概从五个动作、O1–O5、G1–G5、「完成」六条、停止条件压缩,方法层清单从 README 的能力列表取;都是梗概,不逐条照搬原文
• 报清基数:上游有约 40 篇 reference、17 个脚本约 9000 行,写进「这里只有地图,引擎在上游」一节 —— 让读者看清这页是概要、不是全部,不会以为 skill 只有这么点
• 边界照 coverage-and-limits.md 的「Not covered」口径写进正文:破服务端授权、通用脱虚拟化、攻破具名商业保护、对没测过的 Windows 版本作保证都不在范围
• 装上游:上游是 skills 仓库,写明 clone codeberg、skill 在 skills/exe-reverse/、先跑 doctor.py / hwprobe.py、是第三方代码执行前告知用户、工具不在 PATH 用 EXEREV_TOOLS;npx skills add 对 codeberg 不一定可用,不写

上游更新

客户端装的是上游最新版,这边钉在 af9603c。上游两天 8 版,更新频繁;但本站只是一页概要,梗概层面变得慢,以人工跟进为准:

1. git clone --depth 1 拿新 commit,和 af9603c 比对 SKILL.md 的分类轴、门禁、「完成」定义和 references/coverage-and-limits.md 的边界
2. 分类三轴、纪律梗概或边界有实质变化(新增一类目标、改了门的数目、边界松紧)才重写概要对应段;单条坑或单篇技术 reference 的增删不动这页
3. 更新本页的 commit、日期、脚注和基数(reference 篇数、脚本个数)