Agent Skills
› zhaoxuya520/reverse-skill
› digital-forensics
digital-forensics
GitHub用于授权数字取证与应急响应，涵盖内存分析、磁盘时间线、PCAP溯源及主机伪影提取。强调证据保全、只读操作与链式保管，支持IOC提炼并关联恶意分析与威胁狩猎。
触发场景
需要进行内存转储或磁盘镜像分析
执行PCAP网络流量溯源
提取Windows主机持久化痕迹或事件日志
应急响应中需保全证据并生成IOCs
安装
npx skills add zhaoxuya520/reverse-skill --skill digital-forensics -g -y
SKILL.md
Frontmatter
{
"name": "digital-forensics",
"description": "Use for authorized digital forensics including memory dumps, disk timelines, PCAP investigation, artifact triage, and IR evidence preservation."
}
Digital Forensics & IR Artifacts
ACTION REQUIRED（读完后立刻执行）
NOW: 读取../field-journal/precedent-pentest.md或组织 IR 授权说明NOW: 确认是取证/溯源而非进攻性扫描NOW: 建立 case；证据只读副本优先（原始介质写保护）NEXT: tool-index；Volatility 等常手动ACT: 保全哈希 → 时间线 → 关键伪影
适用场景
- 内存转储分析（Volatility 2/3）
- 磁盘/ E01 / 落地文件时间线
- PCAP 溯源与协议还原（可联合
protocol-reverse/） - 主机伪影：Prefetch、Shimcache、Event Log、浏览器历史
- 应急响应 IOC 提炼（联合
malware-analysis//threat-hunting/）
工作流
1. 保全
□ 计算 SHA256；记录时区与采集命令
□ 工作在副本上；原始只读
□ chain of custody 备注写入 timeline
2. 内存
vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline
3. 主机伪影
□ 事件日志：Security / PowerShell / Sysmon
□ 持久化：Run 键、服务、计划任务、WMI
□ 执行痕迹：Amcache、Prefetch、BAM
4. 网络
□ tshark 统计会话与 DNS
□ 导出可疑流 → protocol-reverse 或 malware C2 分析
工具链
| 工具 | 用途 |
|---|---|
| Volatility 3 | 内存 |
| Timeline Explorer / Plaso | 超级时间线 |
| tshark | PCAP |
| Eric Zimmerman 工具集 | Windows 伪影 |
| Autopsy / FTK Imager | 磁盘 |
参考
references/forensics-triage.md../malware-analysis/../threat-hunting/../protocol-reverse/
路由上下文
上游: MASTER R25
下游: 恶意样本深挖 → malware-analysis；规则 → threat-hunting
任务完成自检
- 是否保全哈希与副本策略？
- 时间线是否可复核？
- IOC 是否脱敏分级？
- Checklist？
版本历史
- b8ae07d 当前 2026-07-19 23:09
