跳到主要内容

REA 最佳实践

七天实战

把下列检查表打印或拷进笔记；在 REA 子站 综合项目中作为验收清单。

一、假设驱动，而不是工具驱动​

反模式：打开 Ghidra → 无目的滚动 → 疲劳。
正模式：写下 1 条假设 → 选最便宜实验 → 更新模型。

每日站会式三问：

  1. 当前最大不确定性是什么？
  2. 哪个实验能最快证伪？
  3. 今天最小可交付是什么？

二、证据链管理​

  • 所有结论旁标注证据：地址、报文帧号、截图哈希、日志行。
  • 原始 pcap / 样本只读保存；工作副本可改。
  • 使用内容寻址：sha256sum 记入笔记。

三、差分纪律​

一次只改一个变量。若同时改用户名与协议版本，你无法归因。

四、静态与动态交叉验证​

伪代码「看起来像 MD5」不等于就是 MD5。用：

  • 已知测试向量
  • 动态断在压缩函数入口看常量
  • 与开源实现对照

五、反混淆与脱壳策略​

  1. 识别：高熵、稀疏导入、异常节区名
  2. 优先动态等到 OEP再 dump，而不是硬抗虚拟机保护
  3. 对 CFF：找 dispatcher 变量与状态表
  4. 记录「保护厂商指纹」便于下次加速

六、协议工作的工程化​

  • 用 DSL（construct/kaitai）而不是一次性 struct.unpack 散落脚本
  • 版本协商字段单独测
  • 防重放：理解 nonce/时间窗后再谈重放实验

七、Frida / 调试器使用规范​

  • 默认只读 Hook；写返回值前备份原逻辑观察
  • 脚本纳入版本管理；设备架构与 frida-server 对齐
  • 注意 SELinux、代码签名、企业证书固定

八、协作与交接​

交接包必须让「没看过样本的人」在隔离环境复现：

  1. 如何获得样本（授权）
  2. 如何搭建环境
  3. 一键脚本
  4. 预期输出
  5. 已知失败模式

九、合规检查表​

  • 授权文件
  • 数据保留与销毁策略
  • 是否涉及个人数据
  • 对外分享是否脱敏
  • 是否触发出口管制/额外政策（按组织要求）

十、AI 辅助分析守则​

可以不可以
解释公开伪代码片段上传未授权二进制
生成解析器草稿让模型「保证」漏洞存在
整理术语表替代人工合规判断

深度扩展：最佳实践​

原则 1​

在团队质量工作流里，先建立样本哈希索引与授权编号，再允许任何动态动作；顺序反了会把风险前置。

落地动作 1（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 2​

团队质量的观察阶段要同时记录功能行为与副作用，例如落盘路径、环境变量、网络目的地，副作用经常比主输出更接近真模型。

落地动作 2（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 3​

为团队质量写假设时使用「若…则…否则作废」句式，并把作废条件交给实验设计者（可以是明天的你）。

落地动作 3（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 4​

团队质量差分实验一次只扰动一个自变量，标题里写明自变量，笔记里写明预期字节级变化区域。

落地动作 4（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 5​

验证团队质量时优先独立实现关键算法或解析路径，测试向量来自真实捕获并完成脱敏。

落地动作 5（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 6​

团队质量相关工具选型按不确定性类型：格式、逻辑、运行时、协议四类分别对应不同最小工具，避免堆叠 GUI。

落地动作 6（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 7​

在团队质量交付物中强制出现未知清单与合规扉页；缺一则状态只能是草稿，不能是可评审。

落地动作 7（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 8​

团队质量时间管理使用九十分钟块，块结束必须产生新事实或阻塞票，禁止无产物延长。

落地动作 8（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 9​

面对团队质量卡关，先缩小假设粒度，再切换信息源，再做反证，三板斧用尽才考虑升级重工具。

落地动作 9（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 10​

与团队协作团队质量时统一 IR 与字段表模板，减少方言；评审会议只讨论风险与决策，不现场表演操作。

落地动作 10（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 11​

团队质量与 AI 辅助结合时，模型只可接触脱敏材料，关键结论必须人工签字与向量验证。

落地动作 11（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 12​

将团队质量中可迁移检查表沉淀到个人 Wiki，并给模板打版本号，下个项目直接复用而不是从空白开始。

落地动作 12（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 13​

做团队质量时把「第二产物」当作一等公民：字段表、解析器、回归向量、未知清单，四者缺一就难交接。

落地动作 13（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 14​

若团队质量涉及多版本对象，先建兼容性矩阵，再写解析策略表，避免深层 if-else 泥潭。

落地动作 14（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

原则 15​

在团队质量演示与汇报中先讲边界与风险，再讲细节，让决策者获得可行动信息。

落地动作 15（最佳实践）：针对当前对象写一条笔记，含证据链接，并预约下一个九十分钟块的单变量实验，实验标题必须出现自变量名称。

专题：指标​

追踪假设关闭与向量增长。

专题：降级序​

范围→合规→观察→关键字段→注释。

专题：onboarding​

先日志后发现。

情景卡片 1（授权边界确认）​

你在团队质量语境下处理与「授权边界确认」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 1，禁止复制旧答卷。本卡片聚焦「授权边界确认」，不要跑题去写无关工具安装故事。

情景卡片 2（黑盒输入矩阵）​

你在团队质量语境下处理与「黑盒输入矩阵」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 2，禁止复制旧答卷。本卡片聚焦「黑盒输入矩阵」，不要跑题去写无关工具安装故事。

情景卡片 3（字符串 xref 导航）​

你在团队质量语境下处理与「字符串 xref 导航」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 3，禁止复制旧答卷。本卡片聚焦「字符串 xref 导航」，不要跑题去写无关工具安装故事。

情景卡片 4（长度字段差分）​

你在团队质量语境下处理与「长度字段差分」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 4，禁止复制旧答卷。本卡片聚焦「长度字段差分」，不要跑题去写无关工具安装故事。

情景卡片 5（endian 判定）​

你在团队质量语境下处理与「endian 判定」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 5，禁止复制旧答卷。本卡片聚焦「endian 判定」，不要跑题去写无关工具安装故事。

情景卡片 6（校验范围识别）​

你在团队质量语境下处理与「校验范围识别」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 6，禁止复制旧答卷。本卡片聚焦「校验范围识别」，不要跑题去写无关工具安装故事。

情景卡片 7（错误码字典）​

你在团队质量语境下处理与「错误码字典」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 7，禁止复制旧答卷。本卡片聚焦「错误码字典」，不要跑题去写无关工具安装故事。

情景卡片 8（状态机快乐路径）​

你在团队质量语境下处理与「状态机快乐路径」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 8，禁止复制旧答卷。本卡片聚焦「状态机快乐路径」，不要跑题去写无关工具安装故事。

情景卡片 9（状态机错误边）​

你在团队质量语境下处理与「状态机错误边」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 9，禁止复制旧答卷。本卡片聚焦「状态机错误边」，不要跑题去写无关工具安装故事。

情景卡片 10（Hook 日志对齐）​

你在团队质量语境下处理与「Hook 日志对齐」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 10，禁止复制旧答卷。本卡片聚焦「Hook 日志对齐」，不要跑题去写无关工具安装故事。

情景卡片 11（抓包噪声掩码）​

你在团队质量语境下处理与「抓包噪声掩码」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 11，禁止复制旧答卷。本卡片聚焦「抓包噪声掩码」，不要跑题去写无关工具安装故事。

情景卡片 12（解析器单测）​

你在团队质量语境下处理与「解析器单测」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 12，禁止复制旧答卷。本卡片聚焦「解析器单测」，不要跑题去写无关工具安装故事。

情景卡片 13（黄金向量沉淀）​

你在团队质量语境下处理与「黄金向量沉淀」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 13，禁止复制旧答卷。本卡片聚焦「黄金向量沉淀」，不要跑题去写无关工具安装故事。

情景卡片 14（未知清单评审）​

你在团队质量语境下处理与「未知清单评审」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 14，禁止复制旧答卷。本卡片聚焦「未知清单评审」，不要跑题去写无关工具安装故事。

情景卡片 15（降级交付切片）​

你在团队质量语境下处理与「降级交付切片」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 15，禁止复制旧答卷。本卡片聚焦「降级交付切片」，不要跑题去写无关工具安装故事。

情景卡片 16（工具版本钉扎）​

你在团队质量语境下处理与「工具版本钉扎」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 16，禁止复制旧答卷。本卡片聚焦「工具版本钉扎」，不要跑题去写无关工具安装故事。

情景卡片 17（双人假设攻击）​

你在团队质量语境下处理与「双人假设攻击」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 17，禁止复制旧答卷。本卡片聚焦「双人假设攻击」，不要跑题去写无关工具安装故事。

情景卡片 18（LLM 草稿审查）​

你在团队质量语境下处理与「LLM 草稿审查」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 18，禁止复制旧答卷。本卡片聚焦「LLM 草稿审查」，不要跑题去写无关工具安装故事。

情景卡片 19（演示彩排）​

你在团队质量语境下处理与「演示彩排」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 19，禁止复制旧答卷。本卡片聚焦「演示彩排」，不要跑题去写无关工具安装故事。

情景卡片 20（失败资产归档）​

你在团队质量语境下处理与「失败资产归档」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 20，禁止复制旧答卷。本卡片聚焦「失败资产归档」，不要跑题去写无关工具安装故事。

情景卡片 21（导入表速览）​

你在团队质量语境下处理与「导入表速览」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 21，禁止复制旧答卷。本卡片聚焦「导入表速览」，不要跑题去写无关工具安装故事。

情景卡片 22（资源段排查）​

你在团队质量语境下处理与「资源段排查」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 22，禁止复制旧答卷。本卡片聚焦「资源段排查」，不要跑题去写无关工具安装故事。

情景卡片 23（超时行为归因）​

你在团队质量语境下处理与「超时行为归因」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 23，禁止复制旧答卷。本卡片聚焦「超时行为归因」，不要跑题去写无关工具安装故事。

情景卡片 24（配置键探测）​

你在团队质量语境下处理与「配置键探测」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 24，禁止复制旧答卷。本卡片聚焦「配置键探测」，不要跑题去写无关工具安装故事。

情景卡片 25（会话固定字段）​

你在团队质量语境下处理与「会话固定字段」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 25，禁止复制旧答卷。本卡片聚焦「会话固定字段」，不要跑题去写无关工具安装故事。

情景卡片 26（截断帧测试）​

你在团队质量语境下处理与「截断帧测试」相关的任务，对象已授权。请提交结构化答卷：

  1. 事实三条（每条可追溯到 OBS 编号或哈希）。
  2. 假设两条（含作废条件），且彼此尽量互斥以便设计区分实验。
  3. 四小时内唯一实验：自变量、因变量、判据、噪声处理。
  4. 失败升级策略与合规提醒各一句。

通过线：未参与同事仅凭文字能理解并复现实验意图。不通过则更换样本家族后重做卡片 26，禁止复制旧答卷。本卡片聚焦「截断帧测试」，不要跑题去写无关工具安装故事。

章末自测：最佳实践​

  1. 写出本章对你改变最大的一条原则，并给出反例故事。
  2. 列出即将执行的子站实验与成功判据。
  3. 更新个人 Wiki 模板版本号，记录本次新增字段。
  4. 检查授权是否覆盖你计划中的动态修改行为。
  5. 将未知清单按业务风险排序，取前两项安排本周处理。

导航：入门 · 快速开始 · 开发 · GitHub · 实践 · FAQ · 从零到一 · 子站