GhidrAssist

المؤلف: Jason Tang

إضافة متقدمة تعمل بالذكاء الاصطناعي (LLM) للمساعدة في الهندسة العكسية التفاعلية داخل Ghidra.

الوصف

تدمج GhidrAssist نماذج اللغة الكبيرة (LLMs) في Ghidra لتوفير مساعدة ذكية لاستكشاف الثنائيات والهندسة العكسية. وهي تدعم أي واجهة برمجة تطبيقات متوافقة مع OpenAI v1، بما في ذلك النماذج المحلية (Ollama، LM-Studio، Open-WebUI) ومزوّدي الخدمات السحابية (OpenAI، Anthropic، Azure).

الميزات الرئيسية

الوظائف الأساسية:

• شرح الكود - شرح الدوال والتعليمات في كل من التفكيك (disassembly) والكود المصدري المُعاد تجميعه (pseudo-C)
  • لوحة تحليل أمان تُظهر مستوى الخطورة، ملف النشاط، واستخدام واجهة برمجة التطبيقات
  • ملخصات قابلة للتعديل مع حماية من الكتابة التلقائية فوق التعديلات
• الدردشة التفاعلية - استفسارات متعددة الجولات مع سجل دردشة دائم
• الاستعلامات المخصصة - استعلامات مباشرة للنموذج (LLM) مع سياق اختياري من الدالة/الموقع الحالي

نظام المعرفة بالرسم البياني الدلالي للاسترجاع المُعزَّز (Graph-RAG):

• الرسم البياني المعرفي الدلالي - تمثيل هرمي لتحليل الثنائيات
  • تسلسل هرمي دلالي من 5 مستويات: جملة ← كتلة ← دالة ← وحدة ← ثنائي
  • ملخصات مُعدَّة مسبقًا بواسطة النموذج (LLM) تُتيح استعلامات سريعة دون الحاجة إلى النموذج
  • تخزين دائم باستخدام SQLite مع خوارزميات الرسم البياني JGraphT
  • بحث كامل النص (FTS5) في الملخصات والتعليقات الأمنية
• اكتشاف المجتمعات - اكتشاف تلقائي للوحدات باستخدام خوارزمية Leiden
  • تجميع الدوال ذات الصلة في وحدات منطقية
  • بنية مجتمعية هرمية مع ملخصات
  • استكشاف مرئي للرسم البياني بعمق قابل للتخصيص
• استخراج الميزات الأمنية - تحليل أمني شامل
  • واجهات برمجة تطبيقات الشبكة: POSIX sockets، WinSock، DNS، SSL/TLS، WinHTTP، WinINet
  • واجهات برمجة تطبيقات ملفات الإدخال/الإخراج: POSIX، Windows، دوال مكتبة C
  • واجهات برمجة تطبيقات التشفير: OpenSSL، تشفير Windows، منصات محددة
  • أنماط السلاسل النصية: عناوين IP، روابط URL، النطاقات، مسارات الملفات، مفاتيح التسجيل
  • تصنيف مستوى الخطورة (منخفض/متوسط/مرتفع) وملف النشاط
• علامة تبويب الرسم البياني الدلالي - واجهة الرسم البياني المعرفي المرئية
  • عرض الرسم البياني مع استكشاف بعمق N-hop
  • عرض القائمة لجميع الدوال المُفهرسة
  • بحث دلالي عبر الملخصات
  • إعادة فهرسة بنقرة واحدة وتحليل أمني

القدرات المتقدمة:

• التحكم في التفكير/الاستدلال الممتد - ضبط عمق الاستدلال للنموذج (LLM) لتحقيق التوازن بين الجودة والسرعة
  • دعم للنماذج OpenAI o1/o3/o4، Claude مع التفكير الممتد، ونماذج الاستدلال المحلية
  • مستويات جهد قابلة للتخصيص: منخفض (سريع)، متوسط (متوازن)، مرتفع (شامل)
  • استمرار لكل برنامج - يمكن للثنائيات المختلفة استخدام مستويات استدلال مختلفة
  • تطبيق مستقل عن المزوّد (Anthropic، OpenAI، Azure، LiteLLM، LMStudio، Ollama)
• الوضع العاملي ReAct - تحقيق مستقل باستخدام الاستدلال المنظم (فكر-تصرف-لاحظ)
  • يقترح النموذج (LLM) خطوات التحقيق بناءً على استفسارك
  • تنفيذ منهجي للأدوات مع تتبع التقدم عبر قوائم المهام
  • الحفاظ على سجل التكرارات الذي يعرض جميع خطوات التحقيق
  • توليف نهائي مع إجابة شاملة والنتائج الرئيسية
  • مقاييس دقيقة (التكرارات، استدعاءات الأدوات، المدة)
• تكامل MCP - عميل بروتوكول سياق النموذج (MCP) للتحليل القائم على الأدوات
  • يعمل مع GhidrAssistMCP للأدوات الخاصة بـ Ghidra
  • استدعاء أدوات محادثة مع تنفيذ تلقائي للدوال
  • دعم لنقل SSE (أحداث يرسلها الخادم)
• استدعاء الدوال - يمكن للنموذج (LLM) التنقل بشكل مستقل في الثنائيات وتعديل التحليل
  • إعادة تسمية الدوال والمتغيرات
  • الانتقال إلى العناوين والمراجع المتقاطعة
  • تنفيذ أوامر Ghidra
• علامة تبويب الإجراءات - اقتراح وتطبيق تحسينات تحليلية شاملة
  • اكتشاف الثغرات الأمنية
  • تحليل جودة الكود
  • اقتراحات إعادة هيكلة آلية
• الاسترجاع المُعزَّز بالتوليد (RAG) - تعزيز الاستعلامات بمستندات سياقية
  • إضافة توثيق مخصص، ملاحظات استغلال، مراجع بنيوية
  • بحث كامل النص باستخدام Lucene
  • حقن السياق في الاستعلامات
• توليد مجموعة بيانات RLHF - جمع التغذية الراجعة لضبط النموذج بدقة

البنية المعمارية

تستخدم الإضافة بنية معيارية تعتمد على الخدمات:

الخدمات الأساسية:

• أنماط الاستعلام: استعلامات عادية، استعلامات مُعزَّزة بـ MCP، أو تحقيق عاملي كامل
• منسّق ReAct: يدير حلقات التحقيق المستقلة مع تتبع المهام وتجميع النتائج
• معالج أدوات المحادثة: يدير جلسات استدعاء الأدوات متعددة الجولات
• MCPToolManager: يتفاعل مع خوادم MCP الخارجية للأدوات المتخصصة

الجزء الخلفي للرسم البياني الدلالي للاسترجاع المُعزَّز (Graph-RAG):

• BinaryKnowledgeGraph: تخزين هجين SQLite + JGraphT للمعرفة الدلالية
• GraphRAGEngine: محرك استعلام لا يحتاج إلى النموذج (LLM) باستخدام الملخصات المُعدَّة مسبقًا
• SemanticExtractor: تلخيص للدوال باستخدام النموذج (LLM) مع معالجة مجمعة
• SecurityFeatureExtractor: تحليل ثابت لواجهات برمجة تطبيقات الشبكة والملفات والتشفير
• CommunityDetector: تطبيق خوارزمية Leiden لاكتشاف الوحدات

طبقة البيانات:

• AnalysisDB: قاعدة بيانات SQLite لسجل الدردشة، تغذية راجعة RLHF، والرسوم البيانية المعرفية
• SchemaMigrationRunner: ترحيلات قاعدة بيانات مُرقَّمة للتحديثات الشفافة
• RAGEngine: بحث مستندات قائم على Lucene لحقن السياق المخصص

مكونات واجهة المستخدم:

• واجهة قائمة على علامات التبويب: شرح، استعلام، إجراءات، رسم بياني دلالي، إدارة RAG، خوادم MCP
• تنسيق الخدمات عبر TabController

الخريطة المستقبلية:

• ضبط النموذج بدقة باستخدام مجموعة بيانات RLHF المجمعة
• تكاملات إضافية لأدوات MCP
• قدرات عاملة محسَّنة، تعاون متعدد العوامل
• بحث تشابه قائم على التضمين (Embedding)

لقطات الشاشة

Screenshot

https://github.com/user-attachments/assets/bd79474a-c82f-4083-b432-96625fef1387

البدء السريع

• إذا لزم الأمر، انسخ ملف ZIP للإصدار الثنائي إلى دليل Ghidra_Install/Extensions/Ghidra.
• شغّل Ghidra ← File ← Install Extension ← فعّل GhidrAssist.
• حمّل ثنائيًا وشغّل CodeBrowser.
• CodeBrowser ← File ← Configure ← Miscellaneous ← فعّل GhidrAssist.
• CodeBrowser ← Window ← GhidraAssistPlugin.
• تأكد من أن مسارات قواعد بيانات RLHF و RAG مناسبة لبيئتك.
• وجّه مضيف API إلى مزوّد API المفضل لديك وضبط مفتاح API.
• (اختياري) في علامة تبويب خيارات التحليل، اضبط مستوى جهد الاستدلال (لا شيء/منخفض/متوسط/مرتفع) للنماذج التي تدعم التفكير الممتد.
• افتح GhidrAssist من خيار GhidrAssist في قائمة Windows وابدأ الاستكشاف.

إعداد النموذج (LLM)

تعمل GhidrAssist مع أي واجهة برمجة تطبيقات متوافقة مع OpenAI v1. تختلف تفاصيل الإعداد حسب المزوّد - إليك بعض المصادر المفيدة:

مزوّدو النماذج المحلية:

• LM Studio - استضافة نماذج محلية سهلة مع واجهة رسومية
• Ollama - إدارة النماذج المحلية عبر سطر الأوامر
• Open-WebUI - واجهة ويب للنماذج المحلية

مزوّدو الخدمات السحابية:

• OpenAI API
• Anthropic Claude
• Azure OpenAI

وكيل LiteLLM (بوابة متعددة المزوّدين):

• LiteLLM - واجهة برمجة تطبيقات موحدة لأكثر من 100 مزوّد LLM
• يدعم AWS Bedrock و Google Vertex AI و Azure وغيرها
• اختر "LiteLLM" كنوع المزوّد في إعدادات GhidrAssist
• الكشف التلقائي عن عائلة النموذج لتنسيق الرسائل الصحيح

النماذج الموصى بها

للحصول على الوضع العاملي (يتطلب استدلالًا قويًا واستخدامًا للأدوات):

• السحابية: GPT-5.1، Claude Sonnet 4.5
• المحلية: GPT-OSS، Llama 3.3 70B، DeepSeek-R1 70B، Qwen2.5 72B

النماذج التي تدعم التفكير/الاستدلال الممتد:

• OpenAI: o1-preview، o1-mini، o3-mini، o4-mini، gpt-5 (استخدم المعامل reasoning_effort)
• Anthropic: Claude Sonnet 4.5، Claude Opus 4.5، Claude Haiku 4.5، Claude Opus 4.1/4، Claude Sonnet 4 (استخدم المعامل thinking.budget_tokens)
• المحلية: openai/gpt-oss-20b عبر Ollama/LMStudio (يدعم مستويات الجهد)

إرشادات مستوى جهد الاستدلال:

• منخفض: تحليل سريع، عدد قليل من رموز التفكير (~5-10 ثوانٍ، تكلفة أقل)
• متوسط: عمق استدلال متوازن (~15-30 ثانية، تكلفة معتدلة)
• مرتفع: تحليل أمني عميق (~30-60 ثانية، ضعف التكلفة، موصى به لصيد الثغرات)

ملاحظة: يتطلب الوضع العاملي نماذج ذات قدرات قوية على استدعاء الدوال والاستدلال متعدد الخطوات. قد تواجه النماذج الأصغر صعوبة في التحقيقات المعقدة. التفكير الممتد اختياري لكنه يمكن أن يحسّن جودة التحليل بشكل كبير لمهام الهندسة العكسية المعقدة.

استخدام GhidrAssistMCP للتحليل القائم على الأدوات

يوفر GhidrAssistMCP أدوات MCP التي تسمح للنموذج (LLM) بالتفاعل المباشر مع قدرات تحليل Ghidra.

الإعداد

1. شغّل خادم MCP

2. كوّن GhidrAssist:

   • افتح Tools ← GhidrAssist Settings ← علامة تبويب MCP Servers
   • أضف خادمًا: http://127.0.0.1:8081 باسم GhidrAssistMCP مع نوع النقل SSE

3. فعّل MCP في الاستعلامات:

   • في علامة تبويب الاستعلام المخصص، حدد "Use MCP"
   • اختياريًا، فعّل "Agentic" للوضع العاملي المستقل

أنماط الاستخدام

استعلامات MCP العادية:

• فعّل مربع "Use MCP"
• اطرح أسئلة مثل "ماذا تفعل الدالة الحالية؟"
• يمكن للنموذج (LLM) استدعاء الأدوات للحصول على الكود المُعاد تجميعه، المراجع المتقاطعة، إلخ.

الوضع العاملي (موصى به):

• فعّل كلا مربعي "Use MCP" و "Agentic"
• اطرح أسئلة معقدة مثل "ابحث عن ثغرات في هذه الدالة" أو "حلل رسم بياني الاستدعاءات"
• سيعمل عامل ReAct على:
  1. اقتراح خطوات التحقيق كقائمة مهام
  2. تنفيذ الأدوات بشكل منهجي لجمع المعلومات
  3. تتبع التقدم وتجميع النتائج
  4. توليف إجابة شاملة مع الأدلة

أمثلة على الاستعلامات:

• "ما الثغرات الأمنية الموجودة في هذه الدالة؟"
• "تتبع تدفق البيانات من إدخال المستخدم إلى هذا الاستدعاء"
• "ابحث عن جميع الدوال التي تعدّل المتغير العام X"
• "حلل معالجة الأخطاء في الدالة الحالية"

استخدام الرسم البياني الدلالي (Graph-RAG)

توفر علامة تبويب الرسم البياني الدلالي واجهة رسم بياني معرفي لاستكشاف نتائج تحليل الثنائيات دون الحاجة إلى استدعاء النموذج (LLM) لكل استعلام.

البدء

1. فهرسة الثنائي:

   • افتح علامة تبويب الرسم البياني الدلالي
   • انقر "ReIndex Binary" لاستخراج العلاقات البنيوية
   • انقر "Semantic Analysis" لتوليد ملخصات النموذج (LLM) (يتطلب واجهة API)
   • يظهر التقدم في شريط الحالة

2. استكشاف الرسم البياني:

   • عرض القائمة: تصفح جميع الدوال المُفهرسة مع الملخصات والعلم الأمني
   • عرض الرسم البياني: تصور علاقات الاستدعاء بعمق N-hop قابل للتخصيص
   • عرض البحث: بحث كامل النص عبر الملخصات والتعليقات الأمنية

3. التحليل الأمني:

   • انقر "Security Analysis" لفحص الميزات ذات الصلة بالأمان
   • تشمل النتائج: واجهات برمجة تطبيقات الشبكة، ملفات الإدخال/الإخراج، استخدام التشفير، أنماط السلاسل النصية
   • يتم تعيين مستويات الخطورة (منخفض/متوسط/مرتفع) بناءً على الميزات المكتشفة

التكامل مع علامة تبويب الشرح

عند عرض دالة في علامة تبويب الشرح:

• إذا كانت الدالة مُفهرسة، يتم عرض الملخص المُعد مسبقًا فورًا
• تعرض لوحة الأمان: مستوى الخطورة، ملف النشاط، واجهات API المستخدمة
• انقر "Edit" لتعديل الملخصات (محمية من الكتابة التلقائية فوقها)
• استخدم "Refresh" لإعادة إنشاء الملخص باستخدام النموذج (LLM)

الفوائد

• استعلامات سريعة: الملخصات المُعدة مسبقًا تلغي زمن انتظار النموذج (LLM) للاستعلامات المتكررة
• تحليل دون اتصال: تصفح البيانات المُفهرسة دون الحاجة إلى اتصال API
• التركيز الأمني: الكشف التلقائي عن أنماط الكود ذات الصلة بالأمان
• اكتشاف الوحدات: تقوم خوارزمية اكتشاف المجتمعات بتجميع الدوال ذات الصلة تلقائيًا

الصفحة الرئيسية

https://symgraph.ai

الحد الأدنى للإصدار

يتطلب هذه الإضافة الإصدار الأدنى التالي من Ghidra:

• 11.0

الترخيص

تم إصدار هذه الإضافة بموجب ترخيص MIT.