逆向工程 Code Audit

Model: minimax-m3 | ¥0.20/call

网络安全Claude Opus 4.7安全审计CodeAudit

Code Audit：zhaoxuya520/reverse-skill: code-audit，适用于安全分析、取证与威胁排查场景。

Calls: 1

Skill Documentation

逆向工程 Code Audit

摘要

Code Audit：zhaoxuya520/reverse-skill: code-audit，适用于安全分析、取证与威胁排查场景。

> 来源: zhaoxuya520/reverse-skill (15.7k stars) — 安全技能路由

> 原文件: skills/code-audit/SKILL.md

> 模型推荐: claude-opus-4-7 (安全分析)

这个 skill 是干嘛的

reverse-skill 整合了逆向工程 / 渗透测试 / CTF / 安全分析的"技能路由包" — 52 个 skill,每个对应一类目标(APK/二进制/前端/网络/IoT/Mac/Win)。

michael 强调"skill 要有相应的指导功能,指导用户使用",所以加了下面两节让 Agent 和用户对接。

---

🤖 Agent 使用说明

1. 用户提到"逆向 / 渗透 / CTF / 取证 / 漏洞"时,触发对应 skill

2. skill 会先 check 用户是否取得授权(否则 ask user)

3. 按 skill 流程执行(取证镜像 / 静态分析 / 动态调试 / 漏洞利用)

4. 涉及破坏性操作前必须 ask user

5. 完工后让 Agent 跑自检

👤 用户需要做什么?

1. 告诉 Agent 你要分析的目标(APK / ELF / JS / 固件 / 等)

2. 如果需要提供文件/镜像/哈希,按 Agent 提示提供

3. 涉及破坏性操作时明确告诉 Agent"继续"或"取消"

4. 全程 Agent 自动化,你只需提供数据 + 回答决策点

---

原 skill 内容(zhaoxuya520/reverse-skill/skills/code-audit/SKILL.md,截断到 12k chars)

---

name: code-audit

description: Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.

---

Source Code Security Audit

ACTION REQUIRED（读完后立刻执行）

1. `NOW`: 读取 `../field-journal/precedent-pentest.md` 或代码审计授权

2. `NOW`: 确认有**源码/仓库访问**（无源码二进制 → 转 RE skill）

3. `NOW`: 明确语言栈与范围（目录/服务/PR diff）

4. `NEXT`: tool-index；semgrep 等

5. `ACT`: 威胁建模草图 → 自动扫描 → 人工验证

适用场景

白盒审计、PR/差分安全审查
Semgrep / CodeQL / Bandit / gosec 等 SAST
危险 API、注入点、鉴权缺失、加密误用
与 `supply-chain-security/` 分工：本 skill 偏**自有代码逻辑**，供应链偏依赖与管道

工作流

1. 范围与威胁模型

□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理

2. 自动扫描

semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .

3. 人工验证（MUST）

□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto

4. 产出

Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号

工具链

| 工具 | 语言/场景 |

|------|-----------|

| Semgrep | 多语言快速规则 |

| CodeQL | 深数据流（GitHub） |

| Bandit | Python |

| gosec / staticcheck | Go |

| SpotBugs / FindSecBugs | Java |

参考

`references/sast-review-checklist.md`
`../supply-chain-security/` `../api-security/` `../llm-security/`（Agent 代码）

路由上下文

**上游**: MASTER R26

**角色**: `ops/role-map.md` cae

**下游**: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools

任务完成自检

[ ] 是否人工验证而非只贴扫描器输出？
[ ] 是否含修复建议？
[ ] 是否限定在授权仓库范围？
[ ] Checklist？

常见问题（FAQ）

使用「Code Audit」这个 skill 能解决什么问题?

本 skill 专注于Code Audit，zhaoxuya520/reverse-skill: code-audit。它将相关流程标准化，帮助用户更快拿到可靠结果，减少重复手工操作。

什么情况下适合使用「Code Audit」?

当你需要在Code Audit相关工作中获得稳定、可复用的产出时最适合——无论是单次任务还是纳入日常工作流，都能直接调用。

使用「Code Audit」前需要准备什么?

需要明确授权范围内的目标系统或样本文件，并准备隔离的分析环境（虚拟机/沙箱）。

FAQ