reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/docs/superpowers/plans/2026-08-18-six-skills-v2.md

@@ -0,0 +1,768 @@
+# 6 个新技能 实现计划
+
+> **For agentic workers:** REQUIRED SUB-SKILL: Use superpowers:subagent-driven-development (recommended) or superpowers:executing-plans to implement this plan task-by-task. Steps use checkbox (`- [ ]`) syntax for tracking.
+
+**Goal:** 新增 6 个原子技能（re-doc-malware / re-variant / re-hunting / re-mobile-forensics / re-stego / re-browser-ext）+ 挂载同步，技能总数 101 → 107。
+
+**Architecture:** 纯技能文档扩展。6 个新技能目录（SKILL.md，按 docs/skill-template.md 原子技能规范）+ 挂载（5 网关子技能/选择树、rerouting 3 行）+ 计数同步（README / AGENTS / marketplace）。
+
+**Tech Stack:** Markdown / YAML frontmatter / validate.mjs（npm test，现有）
+
+## Global Constraints
+
+- **红线 1 呈现中性**：禁用「最推荐」「强烈建议」等最高级强推措辞
+- **红线 2 隐私脱敏**：内容不指向具体项目/公司/产品
+- **不绑定具体工具**：方法为核心，工具为可替换示例；「工具准备」按模板给跨 OS 安装命令
+- validate.mjs：frontmatter `name`=目录名、`description` 非空、`type: atomic` 必含「## 工具准备」、`[[链接]]` 必须解析
+- 工作区已干净（无未提交文件）——所有目标文件可正常修改提交；各任务 commit 只 `git add` 本任务列出的文件
+- 当前分支 `main`；`npm test` 预期按任务标注递增（102 → 107）
+
+---
+
+### Task 1: 创建 re-doc-malware 技能
+
+**Files:**
+- Create: `.claude/skills/re-doc-malware/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-doc-malware`（供 Task 7 的 [[re-doc-malware]] 链接解析；计数 101 → 102）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-doc-malware
+```
+
+写入 `.claude/skills/re-doc-malware/SKILL.md`：
+
+````markdown
+---
+name: re-doc-malware
+type: atomic
+description: >
+  恶意文档分析：PDF/Office 武器化、宏链、文档漏洞利用、载荷提取。
+  触发词：恶意文档、钓鱼文档、PDF恶意、宏文档、docm、文档漏洞、恶意附件。
+---
+
+# 恶意文档分析
+
+## 何时使用 / 何时不用
+
+- 用：钓鱼附件（PDF/Office/RTF）、文档漏洞利用样本、宏文档、文档型恶意载荷
+- 不用：纯脚本宏（转 [[re-script-deob]]）；文档仅是载体（核心逻辑在下载载荷）
+
+## 工具准备
+
+### pdf-parser / peepdf（PDF 结构分析）
+
+- Linux: `apt install pdf-parser` 或 `pip install peepdf`；macOS: `brew install pdf-parser` / pip
+- Windows: pip（WSL 亦可）
+- 验证: `pdf-parser --version`（无则 `python3 -m pdf_parser --help`）
+
+### olevba / oledump（Office 宏提取）
+
+- 多平台: `pip install oletools`
+- 验证: `olevba --help`
+
+### LibreOffice（沙箱打开验证，可选）
+
+- Linux: `apt install libreoffice` / `dnf install libreoffice`；macOS: `brew install --cask libreoffice`；Windows: 官方安装包
+- 验证: `libreoffice --version`
+
+### 7z（OLE/OOXML 解包）
+
+- Linux: `apt install p7zip-full`；macOS: `brew install sevenzip`；Windows: 官方安装包
+- 验证: `7z --help`
+
+## 操作步骤
+
+按顺序执行；动态打开文档必须沙箱（[[re-sandbox]]，[[platform-tips]] 最高原则）。每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **文档类型识别**：
+   ```sh
+   file sample.pdf sample.docm sample.rtf
+   ```
+   - PDF：`%PDF` 头；Office 旧格式：CFB（OLE 复合文档，`D0 CF 11 E0`）；OOXML：zip（`PK`）；RTF：`{\rtf`
+   - 类型决定后续工具链
+
+2. **PDF 恶意分析**：
+   ```sh
+   pdf-parser -f sample.pdf | head -50        # 对象树遍历（-f 强制，解 FlateDecode）
+   pdf-parser -s /JS sample.pdf               # JavaScript 动作
+   pdf-parser -s /OpenAction sample.pdf       # 打开即执行动作
+   ```
+   - 恶意特征：`/JS`（JavaScript 动作）、`/OpenAction`（打开触发）、`/AA`（自动动作）、`/Launch`（外部程序）、嵌入文件（`/EmbeddedFile`）
+   - 漏洞文档：`/JBIG2Decode`（JBIG2 漏洞）、`/RichMedia`（Flash 遗留）等 CVE 对应结构——按结构特征对照已知利用模式
+   - JS 载荷 → [[re-script-deob]] 还原
+
+3. **Office 分析**：
+   ```sh
+   olevba -c sample.docm > macro.txt          # 提取宏源码
+   olevba --decode -c sample.docm > macro_decoded.txt
+   strings sample.docm | grep -iE 'DDEAUTO|http|powershell' | head
+   ```
+   - 宏链：AutoOpen / Workbook_Open / Document_Open / Auto_Open
+   - 其他向量：DDE 域（`DDEAUTO`）、外部链接（`/hyperlink`）、OLE 嵌入对象（7z 解包后逐个分析）、模板注入（`/word/_rels`）
+   - 宏载荷 → [[re-script-deob]] 去混淆链
+
+4. **载荷提取**：
+   - 提取项：脚本/URL/二进制/多级载荷（每层存档编号）
+   - 指标提取 → [[re-ioc]]（URL/域名/哈希）
+   - 提取物初勘 → [[re-triage]]
+
+5. **动态验证**（沙箱）：
+   - [[re-sandbox]] 内用 LibreOffice/阅读器打开，网络隔离（INetSim/fake DNS）
+   - 观察：文件释放、进程链、网络回连（[[re-behavior]] 衔接）
+
+## 跨域联合
+
+- [[re-malware]] 网关：本技能归属（选择树「钓鱼附件」分支）
+- [[re-script-deob]]：宏/JS 去混淆还原
+- [[re-sandbox]]：动态打开强制前置
+- [[re-ioc]]：提取指标
+- [[re-behavior]]：行为验证衔接
+
+## 常见坑与陷阱
+
+- **PDF 对象流压缩未解**：现象——pdf-parser 输出无 `/JS`；原因——对象在 FlateDecode 压缩流内；对策——`-f` 强制解压再查
+- **宏被混淆**：现象——olevba 提取后满屏拼接/编码；原因——宏混淆；对策——[[re-script-deob]] 去混淆链逐层解
+- **文档漏洞版本特征**：现象——结构特征与已知 CVE 不符；原因——利用代码针对特定版本；对策——按结构特征（非版本号）对照利用模式，标注版本假设
+- **沙箱检测文档（延迟执行）**：现象——沙箱内无行为；原因——文档检测环境后不触发；对策——延长观察窗口、模拟用户交互（滚动/点击）
+- **模板注入易漏**：现象——宏正常但仍有外联；原因——`/word/_rels` 远程模板；对策——解包后检查全部 rels 文件
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 102 skills validated`（[[链接]]：re-script-deob/re-sandbox/re-triage/re-ioc/re-behavior/re-malware/platform-tips 均存在）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-doc-malware/SKILL.md
+git commit -m "feat: re-doc-malware 技能——PDF/Office 武器化分析与载荷提取"
+```
+
+---
+
+### Task 2: 创建 re-variant 技能
+
+**Files:**
+- Create: `.claude/skills/re-variant/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-variant`（供 Task 7 的 [[re-variant]] 链接解析；计数 102 → 103）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-variant
+```
+
+写入 `.claude/skills/re-variant/SKILL.md`：
+
+````markdown
+---
+name: re-variant
+type: atomic
+description: >
+  二进制变体/补丁对比：函数匹配、N-day 补丁 diff、变体溯源与相似度分析。
+  触发词：二进制对比、补丁对比、N-day、变体分析、BinDiff、函数匹配、样本相似。
+---
+
+# 二进制变体/补丁对比
+
+## 何时使用 / 何时不用
+
+- 用：补丁前后对比（漏洞定位）、家族变体关联、样本溯源、N-day 分析
+- 不用：单样本深度分析（走 [[re-binary-core]] 通用路径）
+
+## 工具准备
+
+### BinDiff / Diaphora（函数匹配插件）
+
+- BinDiff: Windows 商业工具（安装指引，可替换为开源替代）；Diaphora: 多平台开源（`git clone https://github.com/joxeankoret/diaphora`，IDA/Ghidra 插件）
+- Ghidra 侧替代: BinDiff 官方 Ghidra 插件或 Diaphora 的 Ghidra 移植
+- 验证: 插件在反编译器内可加载
+
+### radiff2 / rz-diff（rizin 命令行对比）
+
+- Linux: `apt install rizin` / `pacman -S rizin`；macOS: `brew install rizin`；Windows: 官方安装包
+- 验证: `rz-diff --version`
+
+### readelf（符号对齐辅助）
+
+- 安装与验证见 [[re-cpp-abi]] 工具准备
+
+## 操作步骤
+
+按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **函数匹配**：
+   ```sh
+   # 命令行快速对比（rizin 系）：指令哈希 + 调用图相似度
+   rz-diff -ss sample_v1 sample_v2 | head -30
+   ```
+   - 匹配维度：指令哈希（相同代码）、调用图（子图同构）、导入导出对齐、字符串/常量引用
+   - 工具（BinDiff/Diaphora）输出：matched / changed / new / deleted 函数集
+   - strip 后符号缺失：靠结构匹配（见坑 2）
+
+2. **补丁 diff（N-day）**：
+   - 修复前后对比 → `changed` 函数集 = 漏洞点候选
+   - 变更函数深挖：新条件分支/新校验/新增调用（[[re-ghidra]] / [[re-ida]] 反编译）
+   - 反推漏洞：旧代码的缺陷模式（缺失校验/越界/释放后使用）
+   - 产出：漏洞函数 + 缺陷模式推断（置信度标注）
+
+3. **变体溯源**：
+   - 家族内样本两两对比 → 相似度矩阵 → 聚类（共享函数比例阈值）
+   - 演进链：按时间线/相似度排序样本（早期 vs 晚期变体）
+   - 共享独有函数 = 家族标志（与 [[re-attribution]] 能力证据衔接）
+
+4. **输出差异清单**：
+   - 格式：变更函数表（函数名/地址/变更类型/相似度）+ 结论
+   - 按 [[analysis-contract]] 数据契约传递（下游消费）
+
+## 跨域联合
+
+- [[re-binary-core]] 网关：本技能归属（选择树「补丁/N-day 对比」分支）
+- [[re-ghidra]] / [[re-ida]]：反编译底座（变更函数深挖）
+- [[re-attribution]]：变体关联的能力证据衔接
+- [[analysis-contract]]：差异清单按数据契约传递
+
+## 常见坑与陷阱
+
+- **编译器差异干扰匹配**：现象——同源码不同编译器编译被判不相似；原因——优化/代码生成差异；对策——用调用图与常量引用加权，降低指令哈希权重
+- **strip 后符号缺失**：现象——函数名全无；原因——符号剥离；对策——结构匹配（入口特征/调用模式）、导入表锚定
+- **跨架构对比降级**：现象——x86 vs ARM 匹配率低；原因——指令集不同；对策——只比逻辑层（调用图/常量/字符串），标注跨架构局限
+- **大量相似导致误关联**：现象——共享库代码导致虚高相似度；原因——公共依赖（libc/框架）；对策——排除共享库符号，只比业务代码
+- **补丁 diff 定位偏差**：现象——changed 函数多，漏洞点被淹没；原因——补丁含重构；对策——按变更语义过滤（新增校验/边界处理优先）
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 103 skills validated`（[[链接]]：re-binary-core/re-ghidra/re-ida/re-attribution/analysis-contract/re-triage/re-cpp-abi 均存在）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-variant/SKILL.md
+git commit -m "feat: re-variant 技能——函数匹配/补丁 diff/变体溯源"
+```
+
+---
+
+### Task 3: 创建 re-hunting 技能
+
+**Files:**
+- Create: `.claude/skills/re-hunting/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-hunting`（供 Task 7 的 [[re-hunting]] 链接解析；计数 103 → 104）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-hunting
+```
+
+写入 `.claude/skills/re-hunting/SKILL.md`：
+
+````markdown
+---
+name: re-hunting
+type: atomic
+description: >
+  威胁狩猎方法论：假设驱动、遥测源选择、基线对比与验证闭环。
+  触发词：威胁狩猎、狩猎、hunting、假设驱动、遥测分析、异常检测。
+---
+
+# 威胁狩猎
+
+## 何时使用 / 何时不用
+
+- 用：主动狩猎请求（「环境里有没有 X 的活动」）、假设驱动的环境排查
+- 不用：已知样本分析（[[re-behavior]]）；IOC 查询（[[re-ti]]）；单点证据深挖（各域技能）
+
+## 工具准备
+
+### 日志分析工具（通用）
+
+- 多平台: jq / grep / awk（各发行版自带或 `apt install jq` / `brew install jq`）
+- 验证: `jq --version`
+
+### 遥测查询（按环境）
+
+- SIEM/EDR 查询接口（按部署环境给查询指引，工具不绑定）
+- 本地日志: journalctl / Windows 事件日志工具（按平台）
+
+### ATT&CK 导航（假设对齐参考）
+
+- 网页工具（公开访问）；本地可下载 Navigator 层文件
+
+## 操作步骤
+
+按顺序执行；假设明确再动手（坑 5）。每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **狩猎假设生成**：
+   - 输入：威胁情报（[[re-ti]]）、已知攻击模式（[[re-behavior]] 经验）、环境特征
+   - 假设句式：「攻击者可能通过 X 技术在环境内做了 Y」——X 对齐 ATT&CK 技术
+   - 产出：假设列表（每个假设 = 可证伪的搜索目标）
+
+2. **遥测源选择**：
+   - 按假设选数据源：进程行为 → EDR/进程日志；网络 → 流量/防火墙日志；登录 → 认证日志；文件 → 文件系统监控
+   - 数据源缺失 → 标注盲区（结论的有效性边界）
+
+3. **基线 vs 异常**：
+   - 基线：正常窗口的统计分布（频率/来源/目标特征）
+   - 异常检测：偏离基线的行为（新进程链、非常规时段、异常目标）、规则匹配（已知模式）
+   - 聚类：异常条目按特征聚类（减少人工逐个审查）
+
+4. **验证闭环**：
+   - 命中确认：异常 → 深挖（[[re-behavior]] 行为分析、[[re-variant]] 样本关联）
+   - 误报排除：白名单核对、环境解释（合法变更/维护窗口）
+   - 证据存档：按 [[analysis-contract]] 复核格式（结论/证据/置信度）
+   - 闭环输出：确认命中 → 事件报告；未命中 → 假设归档（可复跑）
+
+## 跨域联合
+
+- [[re-forensics]] 网关：本技能归属
+- [[re-ti]]：情报输入（假设来源）
+- [[re-behavior]]：命中深挖
+- [[re-variant]]：样本关联
+- [[analysis-contract]]：结论按复核格式交付
+
+## 常见坑与陷阱
+
+- **基线污染**：现象——异常被视为正常；原因——环境本身已被攻陷（基线含恶意活动）；对策——基线窗口选择在已知干净时段，标注基线假设
+- **遥测缺失盲区**：现象——无异常结论但环境有活动；原因——关键数据源未采集；对策——步骤 2 显式标注盲区，结论限定「在已采集遥测内」
+- **误报疲劳**：现象——大量命中无人深挖；原因——规则过宽/阈值过低；对策——先聚类再审查，阈值按基线校准
+- **假设过窄**：现象——只查了一个技术；原因——假设单一；对策——按 ATT&CK 技术族生成多假设（覆盖率声明）
+- **结论过强**：现象——「环境干净」声明；原因——未标注盲区与假设边界；对策——结论带限定（见坑 2）
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 104 skills validated`（[[链接]]：re-behavior/re-ti/re-variant/re-forensics/analysis-contract/re-triage 均存在）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-hunting/SKILL.md
+git commit -m "feat: re-hunting 技能——假设驱动狩猎/遥测选择/验证闭环"
+```
+
+---
+
+### Task 4: 创建 re-mobile-forensics 技能
+
+**Files:**
+- Create: `.claude/skills/re-mobile-forensics/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-mobile-forensics`（供 Task 7 的 [[re-mobile-forensics]] 链接解析；计数 104 → 105）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-mobile-forensics
+```
+
+写入 `.claude/skills/re-mobile-forensics/SKILL.md`：
+
+````markdown
+---
+name: re-mobile-forensics
+type: atomic
+description: >
+  移动设备取证：Android/iOS 备份解析、应用数据提取、删除恢复与时间线。
+  触发词：移动取证、手机取证、ADB备份、iTunes备份、手机数据提取。
+---
+
+# 移动设备取证
+
+## 何时使用 / 何时不用
+
+- 用：设备备份/镜像的数据提取、应用数据取证、删除恢复
+- 不用：App 逆向分析（[[re-mobile]]）；通用文件系统分析（[[re-disk-forensics]]）
+
+## 工具准备
+
+### adb（Android 设备接口）
+
+- Linux: `apt install adb` / `dnf install android-tools`；macOS: `brew install android-platform-tools`；Windows: 官方平台工具
+- 验证: `adb --version`
+
+### libimobiledevice（iOS 设备接口）
+
+- Linux: `apt install libimobiledevice-utils`；macOS: `brew install libimobiledevice`；Windows: 官方构建
+- 验证: `idevice_id -l`（列出设备）
+
+### 备份解析工具
+
+- Android: `ab` 备份格式解析（python 脚本或工具）；iOS: `libimobiledevice` 的 `idevicebackup2` + manifest 解析
+- sqlite3（数据库读取，见 [[re-disk-forensics]] 工具准备）
+
+## 操作步骤
+
+按顺序执行；设备操作遵循授权边界（红线：仅授权设备）。每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **Android 提取**：
+   ```sh
+   adb backup -f backup.ab -all        # 全量备份（应用需允许备份）
+   # ab 格式：头（ANDROID BACKUP）+ 可选 AES 加密 + tar 负载
+   adb shell run-as com.target.app ls data   # 应用沙箱（debuggable 应用）
+   ```
+   - 备份解析：ab 头 → 解包 tar（加密备份需密码）
+   - 应用沙箱：`run-as`（debuggable）/ root 设备直接读
+   - 数据库提取 → sqlite3（[[re-disk-forensics]] 的 SQLite 页结构方法）
+
+2. **iOS 提取**：
+   ```sh
+   idevicebackup2 backup --full ./backup_dir
+   # 备份结构：manifest.plist + 按哈希路径组织的文件
+   ```
+   - 备份解析：manifest.plist（文件映射）、加密备份需密码（无密码则标注不可提取）
+   - Keychain 条目（需提取工具，权限边界）
+   - 应用数据：Library/Preferences、Documents、Caches（按应用沙箱路径）
+
+3. **删除恢复与时间线**：
+   - SQLite 删除记录（freelist 残留——[[re-disk-forensics]] 数据库文件格式方法）
+   - 时间线重建：文件时间戳 + 数据库记录时间（注意时区——见坑 5）
+   - 产出：时间线表（时间/动作/来源）+ 恢复数据
+
+## 跨域联合
+
+- [[re-forensics]] 网关：本技能归属
+- [[re-disk-forensics]]：SQLite 结构/WAL/删除恢复方法
+- [[re-mobile]]：App 结构理解（沙箱路径/数据结构）
+
+## 常见坑与陷阱
+
+- **加密备份无密钥**：现象——备份无法解析；原因——AES 加密；对策——无密码则标注不可提取，不硬破解（授权边界）
+- **ADB backup 权限限制**：现象——备份为空；原因——应用未声明 `allowBackup`；对策——换 root/镜像提取，标注路径局限
+- **iOS 哈希路径混淆**：现象——文件找不到；原因——备份文件按内容哈希组织（非原名）；对策——manifest.plist 映射解析
+  （注：本行表述已于 2026-09-13 修正——文件按 fileID 组织且 fileID 由路径派生（SHA1(domain + "-" + relativePath)）不是内容哈希，索引文件是 Manifest.db；现文见 `.claude/skills/re-mobile-forensics/SKILL.md`，核验记录见 `docs/audit/`）
+- **时间线时区**：现象——时间错位；原因——设备时区与取证时区不一致；对策——统一 UTC 记录，标注设备时区
+- **沙箱边界**：现象——拿不到目标数据；原因——无 root/未越狱；对策——按可提取范围交付（限定结论），不越授权
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 105 skills validated`（[[链接]]：re-mobile/re-disk-forensics/re-forensics/re-triage 均存在）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-mobile-forensics/SKILL.md
+git commit -m "feat: re-mobile-forensics 技能——Android/iOS 备份解析与删除恢复"
+```
+
+---
+
+### Task 5: 创建 re-stego 技能
+
+**Files:**
+- Create: `.claude/skills/re-stego/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-stego`（供 Task 7 的 [[re-stego]] 链接解析；计数 105 → 106）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-stego
+```
+
+写入 `.claude/skills/re-stego/SKILL.md`：
+
+````markdown
+---
+name: re-stego
+type: atomic
+description: >
+  隐写术检测与提取：文件尾附加、图片 LSB、音频与其他载体、提取验证。
+  触发词：隐写、stego、LSB、文件尾附加、隐写提取、图片隐写。
+---
+
+# 隐写术检测与提取
+
+## 何时使用 / 何时不用
+
+- 用：隐写怀疑（CTF 题/取证对象）、文件尾异常、图片/音频异常
+- 不用：正常文件分析（各归各域技能）
+
+## 工具准备
+
+### zsteg（图片 LSB 扫描）
+
+- 多平台: `gem install zsteg` 或源码（GitHub）
+- 验证: `zsteg -v`
+
+### steghide（图片/音频隐写）
+
+- Linux: `apt install steghide` / `dnf install steghide`；macOS: `brew install steghide`
+- 验证: `steghide info --help`
+
+### binwalk（尾部扫描）
+
+- 安装与验证见 [[re-fw-extract]] 工具准备
+
+### python3（位操作/验证脚本）
+
+- 安装与验证见 [[re-python]] 工具准备
+
+## 操作步骤
+
+按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **文件尾附加检测**：
+   ```sh
+   binwalk sample.png | tail -20       # 附加数据扫描
+   hexdump -C sample.png | tail -10    # 尾部目检
+   ```
+   - 尾部附加：文件正常但尾部有多余数据（衔接 [[re-patching]] 尾部附加经验）
+   - 提取：binwalk 自动分割或 dd 按偏移提取 → magic 检查（[[re-triage]]）
+
+2. **图片 LSB**：
+   ```sh
+   zsteg sample.png                    # 全通道 LSB 扫描
+   zsteg -E 'b1,rgb,lsb,xy' sample.png # 指定通道/位平面提取
+   ```
+   - 通道：RGB/alpha 各通道最低位；位平面：b1/b2（低 2 位）
+   - 顺序：行序/位序影响提取结果（见坑 1）
+   - 无工具时的脚本路径：python3 按像素遍历提取位序列
+
+3. **其他载体**：
+   - 音频：频谱隐写（音频可视化工具查频域图案）、相位/回声隐写
+   - 文件冗余区：EXIF、文件头保留区、压缩文件未用空间
+   - 多载体组合（题目常用）
+
+4. **提取验证**：
+   - magic 检查（提取物头部特征）
+   - 可读性验证（strings/file）
+   - 隐写前压缩：先提取再解压（提取物查压缩头——zlib `78 9C` / gzip `1F 8B`，见坑 3）
+
+## 跨域联合
+
+- [[re-ctf]] 网关：本技能归属
+- [[re-fw-extract]]：binwalk 复用
+- [[re-patching]]：尾部附加经验衔接
+- [[re-triage]]：提取物初勘
+
+## 常见坑与陷阱
+
+- **LSB 顺序**：现象——提取乱码；原因——行序（从上到下/从下到上）/位序（LSB 优先/MSB 优先）；对策——工具自动尝试或脚本枚举组合
+- **多载体误判**：现象——一个文件中多个隐写层；原因——嵌套隐写；对策——分层提取，每层验证
+- **隐写前压缩**：现象——提取物乱码；原因——明文先压缩再嵌入；对策——先查压缩特征（zlib 头）再解压
+- **工具输出噪声**：现象——大量候选；原因——扫描输出含误报；对策——按 magic/可读性过滤
+- **载体本身异常**：现象——文件损坏；原因——隐写写入破坏结构；对策——先修复/容忍损坏（按位提取不依赖结构）
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 106 skills validated`（[[链接]]：re-ctf/re-fw-extract/re-patching/re-triage/re-python 均存在）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-stego/SKILL.md
+git commit -m "feat: re-stego 技能——文件尾/LSB/多载体隐写检测与提取"
+```
+
+---
+
+### Task 6: 创建 re-browser-ext 技能
+
+**Files:**
+- Create: `.claude/skills/re-browser-ext/SKILL.md`
+
+**Interfaces:**
+- Consumes: 无（新目录）
+- Produces: 技能目录 `re-browser-ext`（供 Task 7 的 [[re-browser-ext]] 链接解析；计数 106 → 107）
+
+- [ ] **Step 1: 创建目录与 SKILL.md**
+
+```bash
+mkdir -p .claude/skills/re-browser-ext
+```
+
+写入 `.claude/skills/re-browser-ext/SKILL.md`：
+
+````markdown
+---
+name: re-browser-ext
+type: atomic
+description: >
+  浏览器扩展逆向：权限清单、恶意行为定位、混淆还原、上架审查绕过面。
+  触发词：浏览器扩展、Chrome扩展、Firefox扩展、恶意扩展、extension。
+---
+
+# 浏览器扩展逆向
+
+## 何时使用 / 何时不用
+
+- 用：扩展文件（crx/xpi/zip）、恶意扩展行为分析、扩展权限审计
+- 不用：网页 JS 混淆（[[re-script-deob]] 覆盖纯脚本）
+
+## 工具准备
+
+### unzip / 7z（解包）
+
+- 安装与验证见 [[re-doc-malware]] 工具准备（7z）
+
+### jq（manifest 解析）
+
+- Linux: `apt install jq`；macOS: `brew install jq`；Windows: 官方构建
+- 验证: `jq --version`
+
+### node（扩展脚本运行/验证，可选）
+
+- 各平台安装见 [[re-python]] 工具准备模式（node 官方安装包）
+- 验证: `node --version`
+
+## 操作步骤
+
+按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。
+
+1. **解包与结构**：
+   ```sh
+   unzip sample.crx -d ext/          # crx/xpi = zip 容器
+   jq '.permissions, .host_permissions' ext/manifest.json
+   ```
+   - 结构：manifest.json + 背景脚本（background/service_worker）+ 内容脚本（content_scripts）+ 页面
+   - 权限清单：`permissions`（API 权限）、`host_permissions`（站点访问）——权限决定能力边界
+
+2. **恶意行为定位**：
+   - 数据外泄：fetch/XHR/beacon（[[re-netcap]] 衔接）、`navigator.sendBeacon`、图片像素外传
+   - 权限滥用：tabs（读取页面）、storage（数据收集）、webRequest（流量篡改/监控）、clipboard（剪贴板窃取）
+   - 注入面：content_scripts 匹配站点、动态注入（`chrome.scripting.executeScript`）
+   - 后台脚本是核心（MV3 的 service worker / MV2 的 background page）
+
+3. **混淆还原**：
+   - 衔接 [[re-script-deob]] 高级混淆对抗（bootstrap/字符串表/CFF）
+   - 远程代码：MV2 允许远程 JS（`eval`/动态加载）；MV3 禁止远程 JS（远程代码是审查绕过信号）
+
+4. **上架审查绕过面分析**：
+   - 动态加载（运行时拉取代码——MV2 特征）
+   - obfuscation 检测规避（代码混淆超过阈值触发审查）
+   - 多阶段（无害首版 + 更新后恶意——版本对比 [[re-variant]] 思路）
+
+## 跨域联合
+
+- [[re-managed]] 网关：本技能归属（选择树「浏览器扩展」分支）
+- [[re-script-deob]]：混淆还原
+- [[re-netcap]]：网络行为衔接
+- [[re-variant]]：扩展版本对比（更新后恶意检测）
+
+## 常见坑与陷阱
+
+- **manifest 版本差异**：现象——MV2 分析思路套 MV3 失效；原因——权限模型不同（MV3 禁远程代码/后台改 service worker）；对策——先确认 manifest_version
+- **远程代码策略**：现象——静态找不到恶意逻辑；原因——代码远程拉取（MV2）；对策——网络侧抓取（[[re-netcap]]）后还原
+- **动态注入绕过静态分析**：现象——content_scripts 无恶意但行为异常；原因——运行时注入；对策——hook 注入 API（scripting.executeScript）
+- **沙箱与页面隔离**：现象——扩展 API 调用点难定位；原因——扩展上下文与页面上下文隔离；对策——分上下文分析（background/content/page）
+- **更新后恶意**：现象——首版干净；原因——版本更新注入恶意；对策——版本 diff（[[re-variant]]）
+````
+
+- [ ] **Step 2: 结构校验**
+
+Run: `npm test`
+Expected: `OK: 107 skills validated`（[[链接]]：re-script-deob/re-netcap/re-variant/re-managed/re-triage/re-doc-malware 均存在——re-variant 由 Task 2 创建，re-doc-malware 由 Task 1 创建）
+
+- [ ] **Step 3: Commit**
+
+```bash
+git add .claude/skills/re-browser-ext/SKILL.md
+git commit -m "feat: re-browser-ext 技能——扩展权限审计/恶意行为/混淆还原"
+```
+
+---
+
+### Task 7: 挂载与计数同步
+
+**Files:**
+- Modify: `.claude/skills/re-malware/SKILL.md`（子技能列表 + 选择树分支）
+- Modify: `.claude/skills/re-binary-core/SKILL.md`（子技能列表 + 选择树分支）
+- Modify: `.claude/skills/re-forensics/SKILL.md`（子技能列表加 2 个）
+- Modify: `.claude/skills/re-ctf/SKILL.md`（子技能列表加 1 个）
+- Modify: `.claude/skills/re-managed/SKILL.md`（子技能列表 + 选择树分支）
+- Modify: `.claude/skills/re-analyze/references/rerouting.md`（A 表加 3 行）
+- Modify: `README.md`（计数 101→107、88→94、导航加 6 行）
+- Modify: `AGENTS.md`（101→107、88→94）
+- Modify: `.claude-plugin/marketplace.json`（101→107）
+
+**Interfaces:**
+- Consumes: Task 1-6 的 6 个技能目录（链接可解析）
+- Produces: 6 技能全库可达；计数 107 = 1 + 12 + 94
+
+- [ ] **Step 1: 网关挂载（5 文件，7 处编辑）**
+
+`.claude/skills/re-malware/SKILL.md` 子技能列表（description 行，末尾 `[[re-fileless]]`）追加 `、[[re-doc-malware]]`；选择树（「**无文件样本**…」分支后）插入：
+
+```markdown
+- **钓鱼附件（PDF/Office/RTF 文档）** → [[re-doc-malware]]（文档武器化/宏链/载荷提取）
+```
+
+`.claude/skills/re-binary-core/SKILL.md` 子技能列表（description 行，末尾 `[[re-fp-runtime]]`）追加 `、[[re-variant]]`；选择树（「**目标是 Haskell/OCaml 产物**…」分支后）插入：
+
+```markdown
+- **补丁/N-day 对比（修复前后/变体关联）** → [[re-variant]]（函数匹配/补丁 diff）
+```
+
+`.claude/skills/re-forensics/SKILL.md` 子技能列表（description 行，末尾 `[[re-attribution]]`）追加 `、[[re-hunting]]、[[re-mobile-forensics]]`
+
+`.claude/skills/re-ctf/SKILL.md` 子技能列表（description 行，末尾 `[[re-pwn]]`）追加 `、[[re-stego]]`
+
+`.claude/skills/re-managed/SKILL.md` 子技能列表（description 行，末尾 `[[re-blockchain]]`）追加 `、[[re-browser-ext]]`；选择树（「**EVM 合约字节码**…」分支后）插入：
+
+```markdown
+- **浏览器扩展（crx/xpi/zip 扩展文件）** → [[re-browser-ext]]（权限审计/恶意行为/混淆还原）
+```
+
+- [ ] **Step 2: rerouting A 表加 3 行**
+
+`.claude/skills/re-analyze/references/rerouting.md` A 表末尾（RTTI 行之后）追加：
+
+```markdown
+| PDF/Office 宏/钓鱼文档特征 | [[re-doc-malware]] |
+| 补丁/N-day 对比需求（修复前后/变体） | [[re-variant]] |
+| 文件尾附加/图片异常（隐写怀疑） | [[re-stego]] |
+```
+
+- [ ] **Step 3: 计数同步（3 文件）**
+
+`README.md`：
+- `## 技能导航（101）` → `## 技能导航（107）`
+- `入口 → 12 大类网关 → 88 原子技能` → `入口 → 12 大类网关 → 94 原子技能`
+- 第 5 行 `101 个逆向工程技能` → `107 个逆向工程技能`
+- 导航行：re-malware 行加 `、re-doc-malware`；re-binary-core 行加 `、re-variant`；re-forensics 行加 `、re-hunting、re-mobile-forensics`；re-ctf 行加 `、re-stego`；re-managed 行加 `、re-browser-ext`
+
+`AGENTS.md`：
+- `（101 个技能）` → `（107 个技能）`
+- `原子技能（88）` → `原子技能（94）`
+
+`.claude-plugin/marketplace.json`：
+- `101 个技能` → `107 个技能`
+
+- [ ] **Step 4: 校验**
+
+Run: `npm test`
+Expected: `OK: 107 skills validated`
+
+Run: `grep -c "re-doc-malware\|re-variant\|re-hunting\|re-mobile-forensics\|re-stego\|re-browser-ext" README.md`
+Expected: ≥ 5（各技能名在导航行各出现 1 次，grep -c 按行计，5 个网关行各含 1+ 名）
+
+- [ ] **Step 5: Commit**
+
+```bash
+git add .claude/skills/re-malware/SKILL.md .claude/skills/re-binary-core/SKILL.md .claude/skills/re-forensics/SKILL.md .claude/skills/re-ctf/SKILL.md .claude/skills/re-managed/SKILL.md .claude/skills/re-analyze/references/rerouting.md README.md AGENTS.md .claude-plugin/marketplace.json
+git commit -m "增强: 6 技能挂载与计数同步 107（5 网关/rerouting 3 行/README-AGENTS-marketplace）"
+```