Engenharia Reversa de Protocolos

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

1. NOW: Leia ../field-journal/precedent-reverse.md — Confirme a autorização e os limites das operações normais.
2. NOW: Confirme se a tarefa é de engenharia reversa de protocolo/tráfego/formato de serialização (não apenas assinatura de parâmetros Web → vá para js-reverse/).
3. NOW: Se houver interação de rede alvo → ../scripts/case-init.ps1 para concluir o escopo; se auth não for concedido, é proibido agir no alvo.
4. NEXT: Leia ../tool-index.md; se faltarem ferramentas, faça o bootstrap (tshark/wireshark, etc., podem precisar ser manuais).
5. ACT: Entre no Fluxo de Trabalho Fase 1, produza um rascunho do layout de quadros ou dicionário de mensagens.

Cenários Aplicáveis

• Protocolos binários TCP/UDP personalizados
• Protobuf / gRPC / FlatBuffers / MessagePack
• WebSocket / MQTT / RPC privado
• Restauração de campos e máquinas de estado de PCAP / PCAPNG
• Validação cliente-servidor, números de sequência, cabeçalhos de quadro criptografados

Não Siga Esta Skill

Fluxo de Trabalho

Fase 1 — Coleta e Triagem

□ 拿到样本：PCAP / 代理导出 / 客户端日志 / 二进制
□ 标记方向：C→S / S→C；是否有握手、心跳、重连
□ 固定头？魔数？长度字段？TLV？定长？
□ 是否压缩（zlib/gzip/lz4）或加密（AES/ChaCha 帧内）
□ tshark -r cap.pcap -T fields -e frame.number -e ip.src -e tcp.payload

Fase 2 — Restauração do Layout de Quadros

□ 对齐多个同类消息，找不变字节 / 自增序列号
□ 长度字段：大端/小端、含头/不含头
□ 校验：CRC16/32、checksum、HMAC 位置
□ 画出状态机：Connect → Auth → Ready → Request/Response → Close
□ 工具：Wireshark 自定义 dissector 草稿 / ImHex / 010 Editor 模板 / Kaitai Struct

Fase 3 — Serialização e Criptografia

□ Protobuf：.proto 恢复（blackboxprotobuf / pbtk / protoc --decode_raw）
□ gRPC：HTTP/2 headers + protobuf body
□ 加密：找密钥派生（客户端 so/dll/JS）→ 联合 ida-reverse / js-reverse / apk-reverse
□ 重放：仅在授权 scope 内；先无害字段再敏感操作

Fase 4 — Entregáveis

MUST 产出：
- 消息类型表（name / opcode / fields）
- 至少 1 条可复现的解码命令或脚本
- Evidence：原始 hex 摘录 + 解码结果（脱敏）

Cadeia de Ferramentas

Referências

• references/protocol-workflow.md — Layout de quadros e referência rápida de Protobuf
• Relacionados: ../ida-reverse/ ../js-reverse/ ../firmware-pentest/ ../pentest-tools/

Contexto de Roteamento

Upstream: MASTER-ROUTING R21 · routing.md
Downstream: Requer algoritmo do cliente → ida-reverse/js-reverse; Requer uso de replay → pentest-tools/api-security
Peer: malware-analysis (protocolo C2), digital-forensics (forense de tráfego)

Autoverificação de Conclusão da Tarefa

• O layout da mensagem ou a máquina de estado foram restaurados (em vez de apenas colar hex)?
• Existe um comando de decodificação reproduzível?
• O escopo foi respeitado / os dados foram anonimizados?
• O field-journal / Checklist do relatório foi atualizado?