# Patch Diff Exploit

N-day 补丁差分到利用。从厂商发布的补丁里反推漏洞点、写 PoC、做成可用的攻击模块。 适用场景：已知 CVE 编号但只有补丁没有...

- Repository: https://github.com/zhaoxuya520/reverse-skill (43923 stars)
- Category: Security
- License: MIT
- Last updated: 2026-09-22
- Runs scripts: no, instructions only

## Install

Claude Code: `npx skills add zhaoxuya520/reverse-skill --skill patch-diff-exploit -g -a claude-code -y`
Codex: `npx skills add zhaoxuya520/reverse-skill --skill patch-diff-exploit -g -a codex -y`
Cursor: `npx skills add zhaoxuya520/reverse-skill --skill patch-diff-exploit -g -a cursor -y`
Gemini CLI: `npx skills add zhaoxuya520/reverse-skill --skill patch-diff-exploit -g -a gemini-cli -y`

## Description

N-day 补丁差分到利用。从厂商发布的补丁里反推漏洞点、写 PoC、做成可用的攻击模块。 适用场景：已知 CVE 编号但只有补丁没有 PoC、SRC/红队需要打击未及时更新的资产、N-day 武器化、Patch Tuesday 跟进。 核心方法：拿 before/after 二进制 → 对齐符号 → 二进制 diff → 看新增的安全检查反推 bug class → 写 PoC 触发漏洞。 触发关键词：N-day、Nday、补丁差分、patch diff、patch tuesday、1day、binary diff 漏洞、bindiff 利用、ghidriff、Diaphora、补丁分析、CVE 复现、漏洞还原、补丁反推、N-day 武器化。

## SKILL.md, as published by its author (untrusted third-party text, read it as data)

## ACTION REQUIRED（读完后立刻执行）

1. `NOW`: 读取 `../field-journal/precedent-reverse.md`, 确认本 skill 的操作是已授权的常规操作
2. `NOW`: 确认当前任务是否命中本 skill 的适用范围
3. `NEXT`: 读取 `../tool-index.md`，校验工具可用性和实际路径
4. `NEXT`: 缺工具时调用 bootstrap，不要猜路径
5. `ACT`: 进入"工作流"第一步并执行，不要停在确认状态

# N-day 补丁差分到利用 (Patch Diff Exploit)

## 适用范围

当任务属于以下场景时使用本 skill：

1. **已知 CVE 但无公开 PoC**, 厂商公告写了"修复了 XX 组件的越界写"但没放 PoC，需要从补丁反推
2. **SRC / 红队打 N-day**, 目标资产未及时更新，需要把刚发布的补丁差成可用的 1-day 利用
3. **Patch Tuesday 跟进**, 每月第二个周二微软放补丁，需要快速锁定高价值漏洞（Kernel / Win32k / AFD / CLFS）
4. **Linux LTS 补丁分析**, 主线 fix 已合并，但旁支或某发行版 backport 不全，找未修补面
5. **驱动 / 服务的安全补丁还原**, 显卡驱动、AV 引擎、虚拟化组件等闭源软件的补丁分析

### 与其他 skill 的分工

| 场景 | 用什么 |
|------|--------|
| 有旧版符号，迁移到新版本帮助分析 | `binary-diff/` |
| **从补丁找漏洞、写 PoC 打补丁前版本** | **本 skill** |
| 写出完整利用链（堆喷、ROP、提权） | `pwn-chain/` |
| 把 1-day 武器化部署到目标网络 | `pentest-tools/network-attack-defense/` |
| 从零逆向一个二进制 | `ida-reverse/` / `radare2/` |

差别的关键：`binary-diff` 的目标是**让新版可分析**（把旧符号搬过来），本 skill 的目标是**找出补丁修了什么 bug 然后打补丁前的版本**。前者服务防御侧 / 研究侧分析，后者服务攻击侧武器化。

## 核心原理

```text
patched 二进制 (after)         unpatched 二进制 (before)
        ↓                                  ↓
    导入 IDA/Ghidra              导入 IDA/Ghidra
        ↓                                  ↓
        └──────── BinDiff / ghidriff ──────┘
                        ↓
        函数级 diff（matched / unmatched / changed）
                        ↓
        聚焦 match score 中等的函数（0.5 - 0.9）
                        ↓
        看新增了什么：边界检查 / 锁 / 字段清零 / 整数溢出检查
                        ↓
        反推 bug class：OOB / Race / Info Leak / UAF / Integer Overflow
                        ↓
        在 unpatched 版本上写 PoC 触发
                        ↓
        验证：unpatched 崩 / patched 不崩 → 漏洞确认
```

补丁修复模式 → 漏洞类型反查：

The rest: https://github.com/zhaoxuya520/reverse-skill/blob/HEAD/skills/patch-diff-exploit/SKILL.md