reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-tracing/references/commands.md

@@ -0,0 +1,114 @@
+# strace / ltrace / dtruss 命令速查与操作序列
+
+分工：strace 看系统调用（内核边界），ltrace 看库函数调用（用户态边界），dtruss 是 macOS 的 strace 对应物（DTrace 实现）。选项以本机 `strace --help` / `ltrace --help` 为准（版本差异见 [[gotchas]]）。
+
+## 命令族速查
+
+### strace —— 系统调用
+
+| 用途 | 命令 |
+|---|---|
+| 全进程树跟踪 | `strace -f -o trace.log ./target` |
+| 按类别过滤 | `-e trace=file,network,process,signal,ipc,memory,desc,read,write`（可组合） |
+| 排除噪声 | `-e trace=!futex`（高频调用排除） |
+| 指定调用 | `-e trace=openat,execve,connect,sendto` |
+| 正则匹配调用名 | `-e trace=/open`（匹配含 open 的系统调用） |
+| attach 运行中进程 | `sudo strace -f -p <pid> -o attach.log` |
+| 汇总统计 | `-c`（退出打印 次数/耗时/错误 表） |
+| 时间戳 | `-tt` 微秒级；`-T` 每调用耗时 |
+| 字符串长度 | `-s 200`（默认 32） |
+| hex 输出 | `-x`（非 ASCII 转 hex）；`-xx`（全部） |
+| fd 解析路径 | `-y`（路径）；`-yy`（含 socket 细节） |
+| 按 pid 分文件 | `-o log.%p` |
+| 静默 | `-q`（抑制 attach/detach 消息） |
+
+### ltrace —— 库调用
+
+| 用途 | 命令 |
+|---|---|
+| 库调用跟踪 | `ltrace -f -o lib.log ./target` |
+| 指定函数 | `-e malloc+free`（`+` 追加、`!` 排除） |
+| 指定库 | `-l /path/libfoo.so`（dlopen 后加载的库） |
+| 库 + 系统调用 | `-S` |
+| 汇总 | `-c` |
+| 相对时间戳 | `-r` |
+| 指令指针 | `-i`（打印调用点 IP，对照反汇编） |
+| 调用栈 | `-w 5`（最多 5 帧 backtrace） |
+| attach | `ltrace -p <pid>` |
+
+### dtruss（macOS，DTrace）
+
+| 用途 | 命令 |
+|---|---|
+| 基本跟踪 | `sudo dtruss -f ./target`（DTrace 输出走 stdout） |
+| 调用栈 | `-s`（打印 stack backtraces） |
+| 耗时统计 | `-e`（elapsed times，微秒） |
+| 过滤调用 | `-t <syscall>`（如 `-t write`） |
+| 汇总 | `-c`（syscall counts 次数统计） |
+
+### 后处理管道
+
+```sh
+strace -f -o trace.log ./target
+grep -E 'openat\(.*ENOENT' trace.log        # "找不到文件"类线索（配置路径/缺失依赖）
+grep -E 'connect\(' trace.log               # 网络回连点
+grep -c 'ptrace' trace.log                  # 反调试痕迹排查
+awk '/read\(|write\(/' trace.log           # 数据搬运片段
+```
+
+## 常用操作序列
+
+### 1. 定位持久化/文件行为
+
+```
+strace -f -e trace=file,process -o fs.log ./target
+→ grep openat/creat/rename/unlink + O_WRONLY/O_CREAT → 写盘路径清单
+→ grep execve → 拉起的进程链
+→ 结果对照 [[re-behavior]] 的持久化位置清单
+```
+
+### 2. 网络回连与协议参数
+
+```
+strace -f -e trace=network,read,write -o net.log ./target
+→ grep -E 'socket|connect|sendto|recvfrom' → 目标 IP:端口与数据片段
+→ -s 200 保证 payload 不截断；与 [[re-netcap]] 抓包对照
+```
+
+### 3. 动态解析 API 跟踪（dlopen/dlsym 之后）
+
+```
+ltrace -f -o lib.log ./target
+ltrace -f -l /path/libfoo.so ./target     # 显式指定动态加载库
+→ 输出出现静态 IAT 里没有的函数 → 与 [[re-imports]] 静态结果合并成完整 API 面
+```
+
+### 4. 反调试检测点定位
+
+```
+strace -f -e trace=ptrace,process -o det.log ./target
+→ grep ptrace 观察样本自跟踪/检测行为
+→ 样本对 trace 环境常表现为时序差异或假路径——检测点确认后按 [[re-anti-analysis]] 绕过/静态 patch
+```
+
+### 5. 热点统计（性能/路径偏好）
+
+```
+strace -f -c -o /dev/null ./target        # 系统调用热点
+ltrace -f -c ./target                     # 库调用热点
+→ 高频 futex/epoll_wait = 等待循环；高频 read/write = 数据搬运路径
+```
+
+## 实现教训（内化）
+
+- 输出即证据：`-o` 落盘 + 时间戳，终端只做预览；日志 sha256 入档（[[re-triage]]）
+- 字符串"看不到内容"第一嫌疑是 `-s` 默认 32 字节截断——先放大再重跑
+- 白名单过滤优于黑名单：先 `-e trace=network,file` 缩小，再 `!futex` 排噪
+- attach 追不到初始化：早期逻辑用启动模式重跑；attach 只看"当前时刻之后"
+- ltrace 依赖 PLT/动态符号表，静态链接程序基本无输出——先 `file` 确认动态链接，静态样本换 strace 或模拟执行
+
+## 使用注意
+
+- 全部在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）
+- 反调试样本的 trace 结果可能被刻意污染（见 [[gotchas]] 与 [[re-anti-analysis]]）
+- 证据链：日志路径 + sha256 + 时间戳 → [[re-analyze/analysis-contract]]

vendor-new/rev-skills/.claude/skills/re-tracing/references/gotchas.md

@@ -0,0 +1,44 @@
+# strace / ltrace 工具特有坑与边界
+
+## 进程树与附加
+
+- **不加 -f 丢子进程**：fork/clone 后子进程行为全部丢失——`-f` 是标配；daemon 化（double-fork + setsid）目标尤其依赖
+- **attach 权限与限制**：`-p` 需要与目标同权限（ptrace 权限）；跨 PID namespace（容器内 attach 宿主进程）直接拒绝；`/proc/sys/kernel/yama/ptrace_scope=1` 时非父进程 attach 失败（调 0 或保持同会话）
+- **attach 时机盲区**：attach 之前的调用不可见——注册/初始化逻辑用启动模式重跑，或先静态定位断点（[[re-ida]] / [[re-binary-core]]）
+- **多线程目标**：`-f` 隐含跟踪所有线程；输出按线程交错，`-e trace-fds=` 可精细到 fd
+
+## 输出与过滤
+
+- **输出体积失控**：不过滤时 GB 级日志拖垮磁盘——白名单 + `-o` 文件；只要结论时直接 `-c` 汇总
+- **字符串截断**：默认 32 字节——路径/URL/加密参数被截断，`-s 200` 起步
+- **`-e trace=` 类别名写错**：不存在的类别/调用名报 "invalid system call"（strace 会把整串当调用名解析）——类别用文档列出的 file/process/network/signal/ipc/memory/desc/read/write
+- **新内核新调用解码缺失**：内核 6.x+ 的新系统调用在旧 strace 上显示为原始数字/名字——升级 strace 或查内核头文件补语义
+
+## 反调试对抗
+
+- **ptrace 自检测冲突**：样本对自己或子进程执行 ptrace(PTRACE_TRACEME) 与调试器冲突——表现为 strace 挂起/无输出/样本直接退出；对策：静态定位检测点（[[re-anti-analysis]]），或只跟踪关键路径
+- **注入机制痕迹**：strace/ltrace 的注入可被 /proc/self/maps 枚举——检测到后行为跳变是常态，别把污染后的输出当真
+- **时序破坏**：每调用开销放大，时序校验（自计时/rdtsc）目标会误判——时间敏感目标用 Intel PT（`perf record -e intel_pt`）或轻量 BPF（[[re-ebpf]]）替代
+
+## ltrace 局限
+
+- **只跟踪 PLT 层**：dlopen 后加载的库函数需要 `-l` 显式指定；静态链接程序无 PLT——ltrace 无输出，换 strace
+- **无调试符号时参数语义不明**：参数显示为寄存器/裸指针——配合 `-i`（指令指针）+ 反汇编对照确认语义
+- **维护滞后**：新 glibc 内部函数（如 malloc 变体）可能显示为地址而非名字——个别乱码不阻塞流程，语义靠 `-i` + 反汇编补
+
+## macOS（dtruss）差异
+
+- SIP 限制：系统签名进程（大部分 /usr/bin 与系统守护）dtruss 拒绝跟踪或权限失败——先拿普通用户态程序验证命令可用性
+- 需要 root：`sudo dtruss`；无 Xcode CLT 时无 DTrace 工具链
+
+## 版本差异
+
+- **strace 7.x（当前主线）**：seccomp-bpf 为 opt-in（5.3 起，`--seccomp-bpf` 显式启用，与 `-p` attach 不兼容）；6.4 起指定 `--syscall-limit` 时自动关闭 seccomp-bpf 路径
+- **ltrace 0.8.x**：长期小步维护，选项稳定（-e/-l/-S/-c/-i/-w）；与 0.7.x 差异主要在输出格式细节
+- **发行版打包差异**：RHEL 系偏旧（strace 5.x 常见，无 6.x 新选项）——新选项不存在时按本机 help 为准
+- **内核侧配置影响**：Yama ptrace_scope、seccomp 策略影响 attach 与跟踪能力——行为怪异先查内核配置
+
+## 使用注意
+
+- 全部在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）
+- trace 日志作为证据：路径 + sha256 + 时间戳入档（[[re-triage]]），结论写 [[re-analyze/analysis-contract]]