Free SKILL.md scraped from GitHub. Clone the repo or copy the file directly into your Claude Code skills directory.
npx versuz@latest install ai-emergency-toolsgit clone https://github.com/b0bac/AIEmergencyTools.gitcp -r AIEmergencyTools/ ~/.claude/skills/ai-emergency-tools/---
name: ai-emergency-tools
description: AI 应急响应工具集,整合 Shellcode 分析和 Linux 应急响应两大功能模块,提供安全研究和应急响应的完整解决方案。
metadata:
dependencies:
- "shellcode-analyze"
- "linux-emergency-response"
author: "Security Research Team"
version: "1.0.0"
---
# AI 应急响应工具集
## ⚠️ 重要:配置必读
### 使用前必须完成的配置
#### 1. VirusTotal API 配置(可选)
本工具集包含 VirusTotal 威胁情报查询功能。如需使用此功能,需要配置 VirusTotal API Key。
**获取 API Key:**
1. 访问 https://www.virustotal.com/
2. 注册账号并申请免费 API Key
3. 获取您的 API Key
**配置方法:**
```bash
# 方式1:使用环境变量(推荐,最安全)
export VIRUSTOTAL_API_KEY=$(echo -n "your-api-key+your-username" | base64)
# 方式2:永久设置(添加到 ~/.bashrc 或 ~/.zshrc)
echo 'export VIRUSTOTAL_API_KEY=$(echo -n "your-api-key+your-username" | base64)' >> ~/.bashrc
source ~/.bashrc
```
> ⚠️ **安全警告**:
> - 不要将真实的 API Key 提交到版本控制系统
> - 不要在公开场合分享您的 API Key
> - 定期轮换 API Key
#### 2. SSH 连接信息配置
Linux 应急响应功能需要提供目标主机的 SSH 连接信息:
```
hostname: <目标主机 IP 或域名>
port: <SSH 端口,默认 22>
username: <SSH 用户名(建议使用有权限的账户)>
password: <SSH 密码>
```
**安全建议:**
- 使用 SSH 密钥认证(更安全)
- 创建专用的应急响应账户
- 使用完毕后及时修改密码
#### 3. Python 依赖安装
```bash
# 安装必要依赖
pip install capstone psutil
```
## 功能概述
本 Skill 整合多个应急响应子模块,提供从恶意代码分析到系统应急响应的完整安全检测能力。
### 可用子模块
| 子模块 | 功能描述 | 触发条件 |
|--------|----------|----------|
| **shellcode-analyze** | Shellcode 反汇编、系统调用识别、字符串提取、网络指标检测 | 提供十六进制 shellcode 或相关分析请求 |
| **linux-emergency-response** | Linux 系统应急响应、入侵排查、威胁情报查询 | 提供 SSH 连接信息或 Linux 应急响应请求 |
---
## 使用方式
### 1. Shellcode 分析
当用户提供以下任一内容时,自动调用 `shellcode-analyze`:
```
# 直接提供十六进制 shellcode
shellcode-analyze 4883ec2865488b1425... windows x64
# 请求分析 shellcode
分析这段 shellcode: 31c0996a0b5a68...
# 从文件分析
分析 /path/to/shellcode.bin 文件中的 shellcode
```
**支持参数:**
- `hex_string`: 十六进制格式的 shellcode(必填)
- `os`: windows / linux(默认: windows)
- `architecture`: x86 / x64(默认: x64)
### 2. Linux 应急响应
当用户提供以下任一内容时,自动调用 `linux-emergency-response`:
```
# 提供 SSH 连接信息
hostname: 192.168.1.100
port: 22
username: root
password: ********
# 请求应急响应排查
对 192.168.1.100 进行应急响应排查
帮我检查 Linux 主机的安全状况
```
**排查方向:**
1. 快速全面排查
2. 用户登录排查
3. 进程排查
4. 网络连接排查
5. 文件排查
6. 计划任务排查
7. 启动项排查
8. 日志分析
9. 后门检测
10. 威胁情报查询(VT/WHOIS)
---
## 智能路由逻辑
### 判断流程
```
用户输入
│
├─→ 包含十六进制字符串? ──→ YES ──→ shellcode-analyze
│
├─→ 包含 "shellcode" 关键词? ──→ YES ──→ shellcode-analyze
│
├─→ 包含 hostname/port/username/password? ──→ YES ──→ linux-emergency-response
│
├─→ 包含 "应急"/"排查"/"入侵" 等关键词? ──→ YES ──→ linux-emergency-response
│
└─→ 无法判断 ──→ 询问用户选择模块
```
### 模块选择提示
当无法自动判断时,提示用户:
```
请选择您需要的功能模块:
1. [Shellcode 分析] - 分析恶意 shellcode 代码
输入: shellcode-analyze <hex_string> [os] [arch]
2. [Linux 应急响应] - Linux 系统入侵排查
输入: hostname/port/username/password
或直接描述您的需求,我将自动为您选择合适的模块。
```
---
## 常见使用场景
### 场景 1: 恶意代码分析
```
用户: 分析这段 shellcode:fc4883e4f0e8c0000000...
AI: [调用 shellcode-analyze]
正在分析 shellcode...
📊 Shellcode 分析报告
...
```
### 场景 2: 应急响应排查
```
用户: 主机被入侵了,帮我检查
hostname: 10.0.0.5
port: 22
username: admin
password: Pass123
AI: [调用 linux-emergency-response]
已连接到目标主机,开始应急响应排查...
请选择排查方向:
...
```
### 场景 3: 综合检测
```
用户: 我有个可疑文件和被入侵的服务器
AI: 我可以帮您进行两项检测:
1. 提取文件中的 shellcode 进行分析
2. 对服务器进行应急响应排查
请先处理哪一项?或同时进行?
```
---
## 威胁评估等级
统一使用以下威胁等级标注:
| 等级 | 图标 | 说明 |
|------|------|------|
| 高危 | 🔴 | 确认存在恶意行为或入侵痕迹 |
| 中危 | 🟡 | 存在可疑特征需进一步确认 |
| 低危 | 🟢 | 未发现明显异常,正常范围 |
---
## 输出格式规范
### 分析报告模板
```
┌─────────────────────────────────────────────┐
│ AI 应急响应分析报告 │
├─────────────────────────────────────────────┤
│ 检测类型: [Shellcode 分析 / 应急响应排查] │
│ 检测时间: [YYYY-MM-DD HH:MM:SS] │
│ 检测模块: [使用的子模块名称] │
├─────────────────────────────────────────────┤
│ │
│ 📊 分析结果: │
│ - [关键发现1] │
│ - [关键发现2] │
│ │
│ ⚠️ 风险项: │
│ - [风险描述1及原因] │
│ - [风险描述2及原因] │
│ │
│ ✅ 正常项: │
│ - [正常项说明] │
│ │
│ 💡 处置建议: │
│ - [建议1] │
│ - [建议2] │
│ │
│ 🎯 综合威胁等级: 🔴高危 / 🟡中危 / 🟢低危 │
└─────────────────────────────────────────────┘
```
---
## 快速参考
### Shellcode 分析快速命令
```bash
# Windows x64
shellcode-analyze <hex> windows x64
# Linux x86
shellcode-analyze <hex> linux x86
# 默认参数
shellcode-analyze <hex> # 默认 windows x64
```
### 应急响应快速连接
```
hostname: [IP/域名]
port: [SSH端口]
username: [用户名]
password: [密码]
```
---
## 安全注意事项
> ⚠️ **重要提示**:
>
> 1. **授权使用**: 仅对拥有明确授权的系统进行检测
> 2. **隔离环境**: Shellcode 分析必须在隔离环境中进行
> 3. **数据安全**: 妥善保管检测结果和敏感信息
> 4. **合法合规**: 遵守相关法律法规和公司政策
> 5. **生产环境**: 不要在生产系统上直接执行破坏性操作
---
## 版本历史
| 版本 | 日期 | 说明 |
|------|------|------|
| 1.0.0 | 2024-01 | 初始版本,整合 shellcode-analyze 和 linux-emergency-response |
---
## 技术支持
- 子模块详细文档: 请查看各子模块目录下的 SKILL.md
- 问题反馈: 提交 Issue 到项目仓库