Competição Reverse Pwn

Use esta habilidade apenas como uma especialização downstream, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade do nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade para desafios com muitos binários, onde o caminho decisivo passa por artefatos, camadas decodificadas, comportamento do processo, estado de falha ou primitivas de exploit.

Responda em chinês simplificado, a menos que o usuário solicite explicitamente inglês.

Início Rápido

1. Preserve o artefato original antes de descompactar, aplicar patches ou instrumentar.
2. Comece com triagem passiva: tipo, cabeçalhos, seções, importações, strings, entropia, recursos.
3. Decida se o caminho é primeiro reverso, primeiro DFIR ou primeiro exploit.
4. Ligue cada afirmação a um limite observável: limite de decodificação, limite de persistência, limite de falha ou limite de vazamento.
5. Reproduza o artefato ou primitiva a partir de uma linha de base limpa.

Fluxo de Trabalho

1. Triagem Reversa Ou Forense

• Separe o carregador, o payload, a configuração e o comportamento pós-decodificação.
• Correlacione arquivos, memória, logs, registro, serviços, tarefas, IPC e PCAPs como um único grafo.
• Mantenha artefatos decodificados ou despejados separados da amostra original.

2. Caminho Nativo E De Exploit

• Mapeie mitigações, comportamento do carregador, libc ou runtime, superfícies de syscall e IPC, e enquadramento de protocolo.
• Registre a primitiva, bytes controláveis, fonte de vazamento, objeto de destino e artefato final separadamente.
• Compare as diferenças de host, libc, carregador e enquadramento antes de duvidar da primitiva.

Leia Esta Referência

• Carregue references/reverse-pwn.md para ordem de triagem, expectativas de evidência de exploit e modos comuns de falha.
• Se a tarefa for especificamente sobre limites de payload em estágios, blobs de configuração, parâmetros de beacon ou campos de IOC decodificados, prefira $competition-malware-config.
• Se a tarefa for especificamente sobre partições de firmware, cadeias de boot, sistemas de arquivos extraídos ou limites de confiança de pacotes de atualização, prefira $competition-firmware-layout.
• Se a tarefa for especificamente sobre análise de upload, pré-visualizações, extração de arquivos, conversores ou cadeias de desserialização, prefira $competition-file-parser-chain.
• Se a tarefa for especificamente sobre mapas de origem, bundles emitidos, registros de chunks ou reconstrução de estrutura de runtime oculta a partir de ativos de frontend servidos, prefira $competition-bundle-sourcemap-recovery.
• Se a tarefa for especificamente sobre cruzamento de limites de contêiner para host, pré-condições de exploit de kernel, cruzamento de namespace ou cgroup, ou verificação de primitiva de escape, prefira $competition-kernel-container-escape.
• Se a tarefa for especificamente sobre reconstrução de protocolos, fluxos ou artefatos transferidos a partir de capturas de pacotes, prefira $competition-pcap-protocol.
• Se a tarefa for especificamente sobre um protocolo binário ou de texto personalizado onde o estado de repetição, a ordem das mensagens ou a lógica de checksum são o verdadeiro bloqueador, prefira $competition-custom-protocol-replay.
• Se a tarefa for especificamente sobre reconstrução de cronologia em artefatos EVTX, PCAP, registro, e-mail ou disco, prefira $competition-forensic-timeline.

O Que Preservar

• Offsets, hashes, nomes de seções, importações, blobs de configuração, mutexes, chaves de registro
• Offsets de falha, registradores, forma de heap ou stack, endereços de vazamento e etapas do protocolo
• Artefatos originais, decodificados, despejados e instrumentados como arquivos separados