⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Teste de Segurança de Clientes "Thick"

Quando Usar

• Avaliando a postura de segurança de um aplicativo desktop.
• Verificando se as decisões de confiança do lado do cliente podem ser subvertidas.

Cenários de Aplicação

• Clientes C/S, Electron/Qt/.NET WinForms/WPF
• Armazenamento local de configurações/credenciais, IPC, Named Pipes
• Pesquisa de bypass de validação forçada no cliente (autorizado)
• Canais de atualização automática e verificação de assinatura de código

Fluxo de Trabalho

1. Definir Limites

□ 进程树、子进程、驱动/服务
□ 监听端口与出站域名
□ 本地敏感路径：%APPDATA%、Keychain、注册表

2. Superfície de Ataque Local

□ 明文配置、硬编码密钥、调试开关
□ DLL 劫持/搜索顺序（Windows）
□ 数据库文件（SQLite）权限与加密
□ IPC：谁可连接？是否鉴权？

3. Superfície de Rede

□ 系统代理 / 应用自定义 TLS
□ 证书钉扎 → 联合 mobile/js 方法学或 Frida
□ API 越权：客户端隐藏的管理接口

4. Verificação Reversa

□ .NET → dotnet-reverse；原生 → ida/ghidra；Electron → asar + js-reverse

Cadeia de Ferramentas

Referências

• references/thick-client-checklist.md
• ../dotnet-reverse/ ../ida-reverse/ ../js-reverse/ ../api-security/

Contexto de Roteamento

Upstream: MASTER R32
Downstream: Protocolo puro protocol-reverse; Atualização da cadeia de suprimentos supply-chain-security

Autoverificação de Conclusão da Tarefa

• Os limites de confiança foram desenhados?
• As superfícies local e de rede foram cobertas?
• Checklist?

Limitações

• Clientes .NET/Java precisam de ferramentas específicas do framework.
• Lacunas de imposição do lado do servidor encontradas no lado do cliente ainda precisam de confirmação do servidor.

Adaptado de zhaoxuya520/reverse-skill (MIT).