reverse-skills-max/vendor-new/rev-skills/.claude/skills/re-analyze/references/capabilities.md

能力注册表（Capability Layer）

能力层解决技能边界漂移：技能按能力（可执行的分析动作）声明，域技能 = 能力组合。新增技能先声明能力，路由按能力匹配，不依赖领域名。

标签清单（validate.mjs 校验值必须在此清单内）

• triage — 文件初勘（file/哈希/熵/strings/架构识别）
• address-translation — 地址空间换算（PIE/ASLR 基址、RVA/VA、loader offset、跨工具地址对齐）
• elf-parser — ELF 格式解析（头/节/动态链接/符号）
• pe-parser — PE 格式解析（DOS/NT 头/节表/导入导出）
• macho-parser — Mach-O 解析（LC_*/segment/dyld）
• dex-parser — DEX 解析（opcode/结构/混淆）
• bytecode-parser — 托管字节码解析（Java/.NET/WASM/pyc/CAP 等）
• binary-diffing — 二进制变体/补丁对比
• decompilation — 反编译（Ghidra/IDA/Binary Ninja 等）
• debugging — 交互调试（断点/单步/内存读写）
• tracing — 系统调用/函数跟踪
• memory-dump — 进程内存转储与定向提取
• memory-forensics — 整机内存取证（Volatility）
• emulation — 模拟执行（Unicorn/Qiling/QEMU）
• symbolic-execution — 符号执行
• constraint-solving — 约束求解（Z3）
• unpack — 脱壳（压缩壳/强壳/加固 DEX）
• deobfuscation — 反混淆（花指令/平坦化/脚本混淆）
• crypto-identification — 加密算法识别（常量表/指纹）
• crypto-decryption — 加密数据还原（定位解密函数/写解密脚本）
• key-extraction — 密钥与口令提取（硬编码/内存/资源）
• protocol-recovery — 协议状态机重建
• network-capture — 流量捕获与过滤（tcpdump/tshark）
• tls-analysis — TLS/加密流量分析（指纹/密钥导出）
• jni-analysis — JNI 注册与 native 方法还原
• frida-instrumentation — Frida 插桩（hook/脚本生成）
• firmware-extraction — 固件提取与解包
• rtos-analysis — RTOS 任务表/内核对象还原
• hardware-interface — 硬件接口（JTAG/UART/flash/读卡）
• rf-analysis — 射频信号采集与解调
• malware-behavior — 恶意行为分析（持久化/注入/ATT&CK）
• threat-intel — 威胁情报关联与归因
• license-analysis — 授权验证逻辑分析（定位校验点/算法还原）
• fuzzing — 覆盖率引导模糊测试
• shellcode-analysis — Shellcode 提取与解码
• kernel-analysis — 内核模块/驱动逆向
• stego-detection — 隐写检测与提取
• document-malware — 恶意文档分析（PDF/Office）
• evasion-analysis — 检测规避对抗分析（AMSI/ETW）
• game-analysis — 游戏逆向（Unity/Unreal/脚本引擎）
• console-analysis — 主机/复古平台容器与 ROM
• drm-analysis — DRM 实现分析
• automotive-analysis — 汽车总线（CAN/ECU）
• ai-model-analysis — AI 模型逆向与攻击
• blockchain-analysis — 链上字节码（EVM 等）
• web-assembly — WASM 逆向
• browser-extension — 浏览器扩展逆向
• sdr-analysis — 软件无线电协议恢复
• chip-analysis — 芯片物理层（decap/侧信道）
• tee-analysis — TEE/TrustZone 可信应用
• uefi-analysis — UEFI/BIOS 固件
• mobile-forensics — 移动设备取证（备份/应用数据）
• arch-analysis — 架构相关逆向（ARM/MIPS/RISC-V：调用约定、指令集特性、裸机入口）
• lang-runtime-analysis — 语言运行时产物逆向（Go/Rust/Swift/Zig/Nim/Haskell：符号、ABI、运行时结构）
• disk-forensics — 磁盘/文件系统取证（删除恢复、时间线、未分配空间）
• ebpf-analysis — eBPF 程序逆向（指令集、progs/maps 关联、跟踪与对抗）
• electron-analysis — Electron 桌面应用逆向（asar/主渲染进程/CDP）
• hypervisor-analysis — 虚拟化逆向（VT-x/SVM、VMCS/VMCB、嵌套与检测）
• jailbreak-analysis — iOS 越狱环境与 tweak 分析（检测绕过、Theos/LLDB 远程）
• hybrid-app-analysis — 跨平台框架产物逆向（Flutter/Dart AOT、Hermes/RN）
• exploit-development — 利用开发（ROP/堆利用/载荷构造）
• binary-patching — 二进制补丁（字节级修改、指令重写）
• plugin-development — 逆向工具链扩展（Ghidra/IDA 插件工程化）
• sandbox-setup — 沙箱与隔离环境搭建（动态分析前置）
• sample-acquisition — 现场样本采集（异常执行内存定位、运行时捕获与提取，跨 OS 观测模型）

标注规范

• frontmatter 声明 capabilities: [tag1, tag2]（YAML list；单值可写 capabilities: [tag]）
• 语义：本技能提供这些能力（一技能可多能力）
• 网关/入口：声明其聚合能力；不提供分析能力的元技能（如 re-feedback）可省略字段
• 未知标签、非 list 写法 → validate.mjs 报错
• 标签不得悬空：注册表里的标签必须至少被一个技能声明（validate.mjs 检查）——新增标签与声明它的技能同批提交
• 原子技能必须声明：未声明即 npm test 失败；入口（re-analyze）与不提供分析能力的元网关（re-feedback）可省略

能力索引（声明 → 消费的查询表）

• capability-index.md：能力 → 技能反查表，机器生成（node bin/capindex.mjs），含"尚未被声明"清单与覆盖率计数
• 任何 capabilities 声明变更后必须重跑生成并提交，否则 npm test 报索引过期
• 路由/检索按索引反查（不必按领域名猜）；索引同时是可查的覆盖率看板（标签覆盖 + 技能覆盖两个口径）

路由按能力匹配

• triage.md 目标表与 rerouting.md A 表都带「需要能力」列，技能列由 capability-index.md 反查——新增/修改路由行时先定能力标签，不按领域名硬编码
• CI 校验（npm test）：路由能力列标签须在注册表内；路由标称能力须被本行技能声明

网关选择树的能力标注

• 格式：[[re-<技能名>]]（能力：tag1、tag2）——必须带显式「能力：」前缀；无前缀的括号是普通说明（如 [[re-x64dbg]]（minidump 命令）），两者不可混
  • 写作占位符时用 [[re-<技能名>]] / [[<文件名>]]——尖括号形式不会被解析成真链接，避免文档示例触发断链报错（validate 只校验实际链接）
• 范围：## 何时用哪个原子技能（选择树） 段内所有技能链接强制标注；完整工作流段同样格式（非强制）
• CI 校验（npm test）：选择树内技能链接缺标注 → 失败；标注的能力须在注册表内、且被被标注技能真的声明；非技能链接（references 文档如 platform-tips）豁免