wgpsec/evasion-research
skills/evasion/evasion-research/SKILL.md
GitHub 安全研究方法论：搜索 GitHub 上的免杀/Loader/C2 技术仓库，分析代码模式，提取新技术入库。当知识库中没有针对当前检测环境的免杀技术时使用——先搜索 GitHub 高星仓库，分析代码后写入 evasion-techniques-db.json 或 loader-components-db.json 入库
$ install --global
skillsauthnpx skillsauth add wgpsec/AboutSecurity evasion-researchInstall this skill globally with one command. Works with Claude Code, Cursor, and Windsurf.
Security Scan Results
3 of 9 scanners reported clean
Some scanners were skipped, did not run, or reported a non-clean status. Review each row below.
3
Scanners Passed
9
Scanners in report
Clean
TrivyContainer and dependency vulnerability scanner
95%
Clean
SemgrepStatic code analysis for vulnerabilities
95%
Clean
mcp-scan (Snyk)Model Context Protocol security validation
95%
Skipped
Snyk (dep)Open source security scanning
50%
Skipped
Socket.devSupply chain security analysis
50%
Skipped
VirusTotalMulti-engine malware detection
50%
Skipped
CrowdStrikeAdvanced threat intelligence
50%
Skipped
OSV-ScannerOpen Source Vulnerability database check
50%
Skipped
OWASP Dep-Check
50%
Last scanned: Apr 23, 2026, 2:48 AM273.7s4 files scanned
SKILL.md
- name:
- evasion-research
- description:
- GitHub 安全研究方法论：搜索 GitHub 上的免杀/Loader/C2 技术仓库，分析代码模式，提取新技术入库。当知识库中没有针对当前检测环境的免杀技术时使用——先搜索 GitHub 高星仓库，分析代码后写入 evasion-techniques-db.json 或 loader-components-db.json 入库
- tags:
- research,github,evasion,loader,shellcode,technique,knowledge-base,规避研究,检测绕过,bypass研究,规避检测
- category:
- evasion
GitHub 安全研究方法论
⛔ 深入参考
- 完整研究流程与命令 → references/research-workflow.md
5 步研究流程
1. GitHub 搜索 → gh search repos / gh search code
2. 仓库分析 → gh repo view + 读关键文件
3. 模式提取 → 按 6 大类分类
4. 去重检查 → 查已有知识库避免重复
5. 入库保存 → 写入 evasion-techniques-db.json / loader-components-db.json
GitHub 搜索命令速查
# 搜仓库
gh search repos "shellcode loader language:C stars:>20" --limit 20
gh search repos "AMSI bypass" --limit 15
gh search repos "syscall direct" --language c --limit 15
# 搜代码
gh search code "VirtualAlloc PAGE_EXECUTE_READWRITE" --language c --limit 30
gh search code "NtCreateThreadEx" --language c --limit 20
6 大技术分类
| 类别 | 搜索关键词 | |------|-----------| | 内存分配 | VirtualAlloc, HeapCreate, NtAllocateVirtualMemory, MappedFile | | 代码执行 | CreateThread, EnumWindows, APC, Fiber, callback | | API 混淆 | API hashing, PEB walk, dynamic resolve | | 字符串混淆 | XOR, AES, stack strings, compile-time encryption | | 反分析 | IsDebuggerPresent, anti-VM, sandbox detection | | Syscall | direct syscall, indirect syscall, SSN, Hell's Gate |
去重规则
| 条件 | 操作 | |------|------| | 完全同名 | ❌ 跳过（重复） | | 同技术不同名 | ❌ 跳过（重复） | | 同目标不同实现 | ✅ 添加（都有价值） | | 不同目标类似 API | ✅ 添加（不同用途） |
输出格式
## 研究报告
### 发现的技术
1. [技术名] - [简述] - 复杂度: simple/medium/complex
### 知识库状态
- 新增: X 条
- 重复跳过: Y 条
- 变体补充: Z 条
### 参考链接
- <repository-url>
Related Skills
wgpsec/azure-pentesting
testing
VerifiedTrustedCommunity
Azure 云环境渗透测试总体方法论。当目标使用 Azure/Microsoft 365/Entra ID、发现 Azure 相关资产（Blob Storage/App Service/Azure VM/Azure Functions）、获取 Azure 凭据（Service Principal/Managed Identity/Access Token）、或需要对 Azure 环境进行安全评估时使用。提供从未授权枚举到 Entra ID 攻击、服务提权、Cloud-to-OnPrem 横向移动的全流程决策树。覆盖 35+ Azure 服务攻击面
1,393SKILL.mdUpdated Apr 24, 2026
wgpsec/mythic-c2
tools
VerifiedTrustedCommunity
Mythic C2 操作方法论。当需要部署 Mythic、选择 Mythic Agent、安装 C2 Profile、配置 HTTP/DNS/WebSocket/SMB/TCP 通信、生成 payload、管理回连任务，或把 Mythic 作为跨平台 C2 框架用于授权红队演练时使用。覆盖 mythic-cli 安装、Agent/Profile 选择、SSL 证书配置、payload 构建和基础 OPSEC 判断
1,345SKILL.mdUpdated May 22, 2026
wgpsec/docker-pentesting
development
VerifiedTrustedCommunity
Docker 安全测试与容器渗透方法论。当需要评估 Docker 容器、Docker Daemon、Docker Registry、镜像层、构建产物或容器逃逸风险时使用。覆盖容器环境识别、特权容器逃逸、docker.sock/Remote API 利用、procfs/cgroup/capabilities 滥用、Docker 用户组提权、运行时/内核 CVE、Registry 枚举、镜像层 Secret 分析和构建上下文泄露。发现 Docker 容器环境、Registry 暴露、镜像凭据或容器配置错误时应使用此技能
1,345SKILL.mdUpdated May 22, 2026
wgpsec/padbuster-padding-oracle
development
VerifiedTrustedCommunity
使用 PadBuster 进行 Padding Oracle 攻击。当发现 Web 应用使用 CBC 模式加密且存在 Padding Oracle 漏洞时使用。PadBuster 可自动解密密文和伪造任意明文对应的合法密文，适用于加密 Cookie/Token/URL 参数。任何涉及 Padding Oracle 攻击、CBC 密文解密、Cookie 伪造的场景都应使用此技能
1,345SKILL.mdUpdated May 6, 2026