blackvectorops/semantic_firewallتوليد بصمات دلالية حتمية لدوال Go. اكتشاف الأبواب الخلفية على نمط xz والتحقق من التكافؤ الدلالي باستخدام تحليل الإسناد الأحادي الثابت (SSA) والتطور القياسي (Scalar Evolution).
sfw هو محلل ساكن لشيفرة Go المصدرية. يبني SSA باستخدام golang.org/x/tools/go/ssa، ويعيد كتابة كل دالة إلى IR قانوني، ويأخذ بصمة الدالة كقيمة SHA-256 لتلك IR. وفوق البصمة:
sfw diff ملفين دالة بدالة. يطابق الدوال المعاد تسميتها حسب الطوبولوجيا، ويقيّم كل تغيير بناءً على القدرات التي يصل إليها حديثًا والحُرّاس والفحوصات وإعدادات الأمان التي يزيلها.sfw deps diff الشيفرة الخارجية التي تُجمّعها شجرتان من وحدة نمطية: الدوال المتغيرة، والدوال المصدَّرة التي تصل حديثًا إلى قدرة ما، والملفات المتغيرة التي لا يستطيع التحليل رؤيتها.sfw audit التغييرات عالية الخطورة في الفرق، ومصدرها، ورسالة الالتزام إلى LLM، الذي يقرأ الشيفرة (عبر أدوات، باستخدام نموذج Claude) ويقرر ما إذا كانت الرسالة تصف التغيير.sfw index وsfw scan طوبولوجيات الدوال مقابل مخزن توقيعات (PebbleDB أو JSON).لا ينفّذ التحليل الشيفرة قيد الاختبار أبدًا.
[!CAUTION] تُقدَّم هذه الأداة لأغراض البحث الأمني الدفاعي والاختبار المصرَّح به فقط. لا تستخدمها لإنشاء البرمجيات الخبيثة أو توزيعها أو نشرها. يتحمل المستخدمون مسؤولية الامتثال للقوانين والسياسات التنظيمية المعمول بها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.
go install github.com/BlackVectorOps/semantic_firewall/v7/cmd/[email protected]
يعلن go.mod عن go 1.27.2. يطبع sfw version معلومات البناء:
Semantic Firewall CLI
Build: v7.1.1 (Pebble/Gob+PackedIdx)
يجب أن تأتي العلامات (flags) قبل الوسائط الموضعية. يحلّل CLI كل أمر باستخدام حزمة flag في Go، والتي تتوقف عند أول وسيط غير علامة؛ يتم تجاهل العلامات الموضوعة بعد اسم الملف بصمت.
| الأمر | العلامات (الافتراضي) | الوسائط | معزول (Sandboxed) |
|---|---|---|---|
check | --strict (false)، --scan (false)، --db ("")، --no-sandbox (false) | <file.go|dir> | نعم |
diff | --no-sandbox (false)، --batch ("") | <old.go> <new.go>، أو لا شيء مع --batch <pairs-file> | نعم |
deps diff | --no-sandbox (false) | <old-module-dir> <new-module-dir> | نعم |
audit | --model (claude-opus-5-5)، --api-key ("")، --api-base ("")، --no-sandbox (false) | <old.go> <new.go> "<commit message>" | نعم (خطوة diff) |
index | --name (مطلوب)، --severity (HIGH)، --category (malware)، --db ("") | <file.go|dir> | لا |
scan | --db ("")، --threshold (0.75)، --exact (false)، --deps (false)، --deps-depth (direct)، --no-sandbox (false) | <file.go|dir> | نعم |
migrate | --from (مطلوب)، --to (مطلوب) | لا شيء | لا |
stats | --db ("") | لا شيء | لا |
version | لا شيء | لا شيء | لا |
يسرد sfw <command> -h علامات الأمر. يتم تخزين --severity كما هو مُعطى، دون تحقق. أي قيمة لـ --deps-depth غير transitive تُعامَل على أنها direct.
رموز الخروج:
| الأمر | الخروج 0 | الخروج 1 |
|---|---|---|
check | تم تشغيل التحليل، حتى عندما فشل تحميل ملف (يُبلَّغ عنه في حقل error الخاص بذلك الملف) | --strict وأي ملف به خطأ؛ أخطاء قاتلة |
diff | تم إنتاج diff، بغض النظر عن المخاطر | أخطاء قاتلة |
diff --batch | تم إجراء diff لكل زوج، بغض النظر عن المخاطر | فشل أي زوج (بعد طباعة جميع النتائج)؛ أخطاء قاتلة |
deps diff | تم إنتاج diff، بغض النظر عن المخاطر | فشل تحميل أي من الشجرتين؛ أخطاء قاتلة |
scan | تم تشغيل الفحص، بغض النظر عن التنبيهات | أخطاء قاتلة (مثل عدم وجود قاعدة بيانات) |
audit | الحكم MATCH | الحكم LIE أو SUSPICIOUS أو ERROR |
يعامل diff ملف الإدخال المفقود كملف فارغ.
يطبع مصفوفة JSON تحتوي على إدخال واحد لكل ملف. يتم التنقل في الدليل بشكل تكراري، مع تخطي vendor/ والدلائل المخفية وملفات _test.go. أسماء الدوال مؤهلة باسم الحزمة: الملف المحمّل بمفرده ينتمي إلى command-line-arguments.
sfw check --no-sandbox new.go
[
{
"file": "new.go",
"functions": [
{ "function": "command-line-arguments.Handle", "fingerprint": "4acdccda3895dd4cec3af2d55ad43489f91860cd226f82091eaf0a2429849e2f", "file": "/work/new.go", "line": 5 },
{ "function": "command-line-arguments.Handle$1", "fingerprint": "1777c5c3ae9a69e395f6bbe8f35a1e447d25534afec7bb907eacf873e7d4917c", "file": "/work/new.go", "line": 7 },
{ "function": "command-line-arguments.Sum", "fingerprint": "7cc1efa6ef6ca643863de5dcb0a68f7c80cd6dae8c530697706f40ce737030ae", "file": "/work/new.go", "line": 10 },
{ "function": "command-line-arguments.init", "fingerprint": "825a2d206f4eb4ea4413c050e4ca9e4b8e439c2067219829a8fef891031a1850", "file": "" }
]
}
]
تم التقاط المخرجات أعلاه من تشغيل حقيقي، مع تقصير المسار المطلق إلى /work ووضع كل كائن على سطر واحد. new.go هو الملف في مثال sfw diff.
--strict: تجعل تعليمة SSA غير المعالجة أداة canonicalizer تفشل بدلاً من إصدار UnhandledInstr<T>، وأي خطأ على مستوى الملف يجعل الأمر يخرج بالرمز 1.--scan: تُطابَق أيضاً طوبولوجيا كل دالة مقابل قاعدة بيانات التوقيعات (--db، أو الدقة الافتراضية) عند حد ثابت قدره 0.75. تذهب المطابقات إلى حقل scan_results. قاعدة البيانات المفقودة خطأ فادح.المدخلات:
// old.go
package p
import "fmt"
func Handle(cmd string) { fmt.Println(cmd) }
func Add(a, b int) int { return a + b }
// new.go
package p
import "net"
func Handle(cmd string) {
net.Dial("tcp", cmd)
go func() {}()
}
func Sum(a, b int) int { return a + b }
sfw diff --no-sandbox old.go new.go يطبع ما يلي. هذا هو الناتج الكامل، باستثناء أن مدخلة init مختصرة إلى حالتها وقيمتها التراكمية.