2.4 KiB
2.4 KiB
偏好询问：分级问题集与默认值
入口在执行任务编排前，按分级处理偏好，结果存入会话状态，贯穿本次分析全程。
分级规则
- Level 0 快速入口（默认）：目标明确为「初步分析/这个文件干什么的」或目标未明确时——不逐项询问，直接采用默认值开始：
项 默认值 目标 初步分析（判定类型/恶意性/入口/关键行为） 反编译器 Ghidra 深度 standard 报告 要 平台 auto - Level 1 深度任务：用户目标明确属于深度任务（脱壳、漏洞挖掘、协议逆向、恶意样本深度分析、破解、取证等）或用户主动要求配置时——完整询问以下 5 项。
必答问题（Level 1 第一项）
1. 分析目标（自然语言，必答）
想达成什么？示例：
- 判定这个样本是否为恶意、会不会回连
- 脱壳后提取干净样本
- 找到密钥/注册码/算法
- 还原某函数逻辑
- 确认是否存在漏洞
目标不明确时追问，直到可执行。目标决定 triage.md 的选择路径。
选择问题
2. 反编译器选择
| 选项 | 依据 |
|---|---|
| Ghidra（默认推荐） | 免费开源、跨平台、Linux 最顺 |
| IDA | 商业付费（有免费版 IDA Free：x86/x86-64 限定、无 SDK/IDAPython、非商用）、Windows 生态最强、插件丰富；用户明确选或目标为 Windows 闭源软件时推荐。版本代际不在此写死（避免漂移），需要时以官方发布为准 |
| radare2/rizin | 命令行轻量、终端友好、脚本化强；内存紧张或 CLI 工作流 |
内存 <4GB → 提示 Ghidra 可能吃力，建议 radare2 或先加内存。 推荐依据与已装工具无关（通用场景默认未装任何工具）。
3. 分析深度
- 快速结论 / 标准分析 / 深度报告
4. 输出报告
- 要（走报告流程：IOC/YARA 等）/ 不要
5. 平台确认
- 自动识别（有文件时按文件格式）/ 手动指定
状态传递
探测结果（probe.sh）与上述答案存入会话变量：RE_OS、RE_ARCH、RE_MEM_GB、RE_TOOLS（HAVE/MISS 列表）、RE_GOAL、RE_DECOMPILER、RE_DEPTH、RE_REPORT、RE_TARGET_PLATFORM。被调用技能读取这些变量（如 RE_DECOMPILER=ghidra → 反编译步骤直接走 re-ghidra；某工具 MISS → 先执行其「工具准备」安装步骤）。