Agent Skills
› zhaoxuya520/reverse-skill
› macos-reverse
macos-reverse
GitHub用于授权macOS及Mach-O逆向工程，涵盖代码签名、ObjC/Swift恢复、端点安全及Apple平台恶意软件分析。流程包括包体签名检查、静态分析与动态调试，支持Hopper、Frida等工具链。
Trigger Scenarios
macOS可执行文件或dylib逆向
.app bundle或LaunchAgent/Daemon分析
Objective-C/Swift符号恢复
macOS恶意软件静态/动态分析
Install
npx skills add zhaoxuya520/reverse-skill --skill macos-reverse -g -y
SKILL.md
Frontmatter
{
"name": "macos-reverse",
"description": "Use for authorized macOS and Mach-O reverse engineering including codesign, Objective-C\/Swift recovery, endpoint security surfaces, and Apple platform malware analysis."
}
macOS / Mach-O Reverse Engineering
ACTION REQUIRED（读完后立刻执行）
NOW: 读取../field-journal/precedent-reverse.mdNOW: 确认目标为 macOS/Mach-O/App bundle（iOS IPA →mobile-reverse/）NEXT: tool-index；jtool2/lldb 等ACT: 签名与装载信息 → 静态 → 动态（lldb/Frida）
适用场景
- Mach-O 可执行文件 / dylib / framework
- .app bundle、LaunchAgent/Daemon
- Objective-C / Swift 符号与 runtime
- 公证/签名、Hardened Runtime、TCC 相关行为分析
- macOS 恶意软件静态/动态分析（联合 malware-analysis）
工作流
1. 包体与签名
file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target
2. 静态
□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ 字符串与 XPC 服务名、TCC 敏感 API
□ LC_LOAD_dylib 依赖与 rpath
3. 动态
□ lldb / Frida
□ fs_usage / log stream 观察
□ 网络：联合 protocol-reverse 或代理
工具链
| 工具 | 用途 |
|---|---|
| otool / nm / codesign | 系统自带 |
| Hopper / Ghidra / IDA | 反编译 |
| class-dump / dsdump | ObjC |
| Frida / lldb | 动态 |
| jtool2 | Mach-O |
参考
references/macho-triage.md../mobile-reverse/（iOS）../ghidra-reverse/../malware-analysis/
路由上下文
上游: MASTER R31
下游: iOS → mobile-reverse；通用样本 → malware-analysis
任务完成自检
- 是否记录签名/Hardened Runtime 状态？
- 是否有地址级/符号级结论？
- Checklist？
Version History
- b8ae07d Current 2026-07-19 23:10
