托管代码逆向（.NET / Java / 脚本）

完整工作流

1. 识别运行时（不先判型就反编译是最大浪费）：
   • PE 文件：file 输出含 "Mono/.Net assembly"、PE 可选头数据目录第 15 项（COM Descriptor / CLI header）非零、导入 mscoree.dll → .NET 程序集 → [[re-dotnet]]（能力：bytecode-parser）
   • jar/war/class：unzip -p app.jar META-INF/MANIFEST.MF 见 Main-Class、class 文件魔数 CAFEBABE → Java 字节码 → [[re-java]]（能力：bytecode-parser）
   • 脚本/宏：shebang（#!/usr/bin/pwsh）、-EncodedCommand / IEX（PowerShell）、OLE 文档（file 显示 "Composite Document"）内嵌 VBA、eval( / fromCharCode（JavaScript）→ [[re-script-deob]]（能力：deobfuscation）
   • 拿不准先 [[re-triage]]（能力：triage） 初勘（file/hash/熵/strings），不要凭扩展名猜
2. 反编译：按识别结果走 [[re-dotnet]]（能力：bytecode-parser） / [[re-java]]（能力：bytecode-parser） / [[re-script-deob]]（能力：deobfuscation），先把目标逻辑还原成可读代码
3. 去混淆：各原子技能内含对应方案——de4dot（ConfuserEx/SmartAssembly）、混淆识别 + 字符串解密（ProGuard/Allatori）、逐层解码（脚本/宏）；混杂原生组件（native stub / JNI）的反混淆转 [[re-deobfuscate]]（能力：deobfuscation）
4. 恶意场景（钓鱼宏、下载器脚本、恶意 .NET/Java 样本）：转 [[re-malware]]（能力：malware-behavior、document-malware、evasion-analysis、key-extraction、threat-intel） 网关——默认沙箱 → 行为分析 → C2/协议 → IOC/报告；反编译还原结果作为静态证据回传给 [[re-malware]]（能力：malware-behavior、document-malware、evasion-analysis、key-extraction、threat-intel） 使用

何时用哪个原子技能（选择树）

按运行时分支：