win-reverse

Windows Reverse Framework

任务脚本与路径约定

当 Skill 工具被调用时，系统返回 skill 的 base directory（如 C:\Users\xxx\.claude\skills\win-reverse）。以下用 <SKILL_BASE> 代指该路径。

任务产物始终创建在当前项目目录，禁止在 skill 全局目录创建任务产物。

node <SKILL_BASE>/tools/task/task-start.mjs <task-id>
node <SKILL_BASE>/tools/task/task-init.mjs <task-id> [--topic=... --topics=...]
node <SKILL_BASE>/tools/task/task-sync.mjs <task-id>
node <SKILL_BASE>/tools/task/task-advance.mjs <task-id>
node <SKILL_BASE>/tools/task/task-close.mjs <task-id>

文档读取使用绝对路径：<SKILL_BASE>/docs/reference/reverse-bootstrap.md 等。

⚠️ 路径规则（硬约束）

本文档中所有 run/xxx、state/xxx 简写路径，均表示相对于 <PROJECT_DIR>/artifacts/tasks/<task-id>/ 的路径，而不是相对于项目根目录（cwd）。

• 正确：将 investigation.md 写入 <PROJECT_DIR>/artifacts/tasks/<task-id>/run/investigation.md
• 错误：将 investigation.md 写入 <PROJECT_DIR>/run/investigation.md（cwd 下的 run/ 目录）

每次写入产物文件前，必须确认路径以 artifacts/tasks/<task-id>/ 为根。task-init 脚本已创建了完整目录骨架，所有后续文件操作都必须在该目录内进行。

---

反捷径系统（Anti-Shortcut System）

本 SKILL 最核心的部分。解决的问题：LLM 在执行逆向任务时，会系统性地跳过复杂分析步骤，选择简单路线反复尝试，然后用容易获取的信号（脚本无报错、文件已修改）谎报进展。

⚠️ 核心硬约束：运行时物理合规检查与硬性诊断闸口协议（物理断路器）

为根治模型在面对失败时通过“语义合理化”进行违规越权或在“最低成本路线”上盲目死循环的通病，本技能工具链已物理集成了API合规审计与硬性退出码拦截。你必须无条件执行以下断路器协议，任何自我辩解或试图绕过的行为都将被系统物理锁死：

1. 闪退与静默失败的“物理断路器”（Crash State Hard Block）

一旦目标程序发生【静默闪退】、【无日志报错退出】或【声称还原备份后依旧崩溃】的现象：

• 【物理挂起修改权限】：立即挂起并物理锁死一切对项目文件的 Write/Edit 动作。在此状态下，任何尝试直接修改 JS、C#、二进制代码的工具调用均被系统视为越权违规。
• 【强制启动硬件级三步诊断】：你必须且只能依次执行以下诊断，将客观输出落盘至项目 run/crash_diagnostics.md （字数必须 >= 200 字符），通过只读脚本审计后方可解锁修改权限：
  1. SHA256哈希物理核对：必须在终端计算当前受损文件与 .clean.bak 的哈希值，确保还原 100% 成功，严禁口头声明“已完全恢复”。
  2. 操作系统级事件抓取：必须使用 PowerShell 或命令行抓取系统 Application Error 事件日志，提取明确的 ExceptionCode（如 0xc0000005 段错误）与崩溃模块。
  3. 挂载调试器提取堆栈：若本地提供调试工具，必须挂载调试器（或利用调试 MCP 服务）启动程序，捕获 Crash 瞬间的第一手寄存器（EIP/RIP）及堆栈调用流。
• 未将包含上述硬件特征（如 eip、exception、0x...）的客观证据落盘前，思维中禁止提出任何假说推理。

2. SHA256 哈希一致性硬核交叉校验

• 系统阶段推进工具（task-advance）和自测脚本在执行时，会自动物理扫描并核对项目所有 .clean.bak 备份文件与其物理原始文件的 SHA256 校验和。
• 若哈希值不匹配，说明系统现场处于被盲改的受损/脏状态。工具将直接抛出退出码 1 并物理锁死任务推进。
• 【授权豁免】：若修改属于合理且受控的行为，你必须在项目 run/ 目录下物理生成 hash_mismatch_authorized.flag 豁免证书，否则系统绝不予放行。