Diaphora MCP

Diaphora MCP ist ein MCP-Server (Model Context Protocol) für automatisierte Binärdiff-Analysen. Er verbindet Diaphora (die Diffing-Engine) und IDA Pro (den Disassembler) über das MCP-Protokoll, sodass KI-Agenten (wie Claude Code) Binärdateien vergleichen, Sicherheitspatches finden und Änderungen analysieren können.

Funktionen

Export: Konvertiert analysierte .i64/.idb-Datenbanken in das Diaphora-SQLite-Format (über den headless-Modus von idat.exe)
Diffing: Vergleicht zwei exportierte Datenbanken und filtert Ergebnisse nach Übereinstimmungstyp und -verhältnis
Sicherheitsanalyse: Sucht nach sicherheitsrelevanten Änderungen mittels Stichwortsuche und Heuristiken
Patcherkennung: Erkennt automatisch neue Grenzwertprüfungen, Nullprüfungen, Fehlerbehandlungen und kryptografische Änderungen
Ranking: Bewertet geänderte Funktionen nach Wichtigkeit basierend auf CFG, Komplexitätssprüngen und Sicherheitsindikatoren
Callgraph: Vergleicht Aufrufpfade (BFS, bis zu N Ebenen) und erkennt Grundursachenänderungen in Aufrufkaskaden
Metadaten-Transfer: Bereitet Namen, Kommentare und Prototypen für den Transfer zwischen Datenbanken vor
IDA Pro MCP-Integration: Alle Werkzeuge geben Adressen und Datenbankpfade zurück, die direkt an IDA Pro MCP-Werkzeuge übergeben werden können

Installation

1. Abhängigkeiten

Python 3.10+
IDA Pro 8.x / 9.x (für headless-Exporte via idat.exe)
Diaphora-Plugin installiert in IDA
Claude Code (oder ein anderer MCP-konformer Client)

2. Paketinstallation

git clone https://github.com/xTeardx/diaphora-mcp.git
cd diaphora-mcp
pip install -e .

3. Pfadkonfiguration

Das Paket versucht, IDA Pro und Diaphora automatisch an Standardinstallationsorten zu finden. Falls nicht gefunden, können die folgenden Umgebungsvariablen gesetzt werden:

Variable	Beschreibung	Beispiel
`IDAT_PATH`	Vollständiger Pfad zu idat.exe	`C:\Program Files\IDA Pro 9.3\idat.exe`
`DIAPHORA_DIR`	Ordner mit diaphora.py	`C:\Program Files\IDA Pro 9.3\plugins\diaphora-3.4.1`
`DIAPHORA_OUTPUT_ROOT`	Wurzelverzeichnis, das für neue Exportdateien erlaubt ist	`D:\\diaphora-outputs`
`DIAPHORA_PYTHON`	Python-Interpreter für den Diff	`/usr/bin/python3` (Standard: sys.executable)

Für Claude Code können diese in ~/.claude.json (oder der entsprechenden Konfigurationsdatei Ihres MCP-Clients) angegeben werden:

{
  "mcpServers": {
    "diaphora": {
      "command": "python",
      "args": ["path/to/repo/diaphora_mcp_server.py"],
      "env": {
        "IDAT_PATH": "C:\\Program Files\\IDA Pro 9.3\\idat.exe",
        "DIAPHORA_DIR": "C:\\Program Files\\IDA Pro 9.3\\plugins\\diaphora-3.4.1"
      },
      "timeout": 7200
    }
  }
}

Hinweis: Für sehr große Binärdateien (>100 MB) sollte timeout mindestens 7200 (2 Stunden) betragen.

3.1. Codex und headless IDA MCP

Codex verwendet typischerweise zwei komplementäre MCP-Server:

diaphora-mcp – dieses Projekt: Export, Diaphora-Diff und Ergebnisanalyse;
ida-pro-mcp – der vorgelagerte IDA-Inspectionsserver für idb_open, Dekompilierung und Adressanalyse.

idalib-mcp ist das headless-Backend von ida-pro-mcp, kein separater Diaphora-Server. Nach der Installation Codex neu starten:

uv run ida-pro-mcp --install codex --transport streamable-http --scope global --ida-rpc http://127.0.0.1:8745/mcp

Für dieses Projekt genügt eine stdio-Konfiguration:

[mcp_servers.diaphora-mcp]
command = "python"
args = ["D:\\path\\to\\diaphora-mcp\\diaphora_mcp_server.py"]
startup_timeout_sec = 120

4. Vorbereiten der Datenbanken für den Diff

IDA Pro muss die Binärdateien zuerst analysieren (Erstellung von .i64- oder .idb-Dateien). Danach:

┃ export_idb_to_diaphora(idb_path="old_version.i64")
┃ export_idb_to_diaphora(idb_path="new_version.i64")

Oder die gesamte Pipeline in einem Befehl ausführen:

┃ batch_export_and_diff(idb1="old.i64", idb2="new.i64")

.i64 nicht direkt an Ergebniswerkzeuge übergeben: Es ist eine IDA-Datenbank, kein SQLite. Zuerst exportieren.

Schnellstart

┃ # 1. Vollständige Pipeline: zwei .i64 exportieren → diff → zusammenfassender Bericht
┃ batch_export_and_diff(idb1="v1.0.i64", idb2="v1.1.i64")
 
┃ # 2. Wenn Datenbanken bereits exportiert sind
┃ diff_diaphora_dbs(db1="v1.0.sqlite", db2="v1.1.sqlite")
 
┃ # 3. Sicherheitsanalyse der Diff-Ergebnisse
┃ analyze_diff_results(results_path="v1.0_vs_v1.1.diaphora")
 
┃ # 4. Wichtigkeitsranking der Änderungen
┃ rank_changes(results_path="v1.0_vs_v1.1.diaphora", top_n=20)
 
┃ # 5. Grundursache von Änderungen finden
┃ find_patch_root(results_path="v1.0_vs_v1.1.diaphora")
 
┃ # 6. Wahrscheinliche Sicherheitspatches erkennen
┃ detect_security_patches(results_path="v1.0_vs_v1.1.diaphora")
 
┃ # 7. Vollständigen Bericht generieren
┃ summarize_patch(results_path="v1.0_vs_v1.1.diaphora")

Beispiel (Live-Sitzungstranskript)

Siehe examples/basic-session.md für ein vollständiges Schritt-für-Schritt-Transkript einer echten Diaphora-MCP-Sitzung – vom Export zweier IDB-Datenbanken bis zum Vergleich einzelner Funktionen. Auch auf Russisch verfügbar.

Hier ein Vorgeschmack auf das, was der Server zurückgibt:

Eingabe – Vergleich zweier SQLite3-DLLs (2015 vs. 2023):

{"idb1_path": "old.i64", "idb2_path": "new.i64", "use_decompiler": false}

Ausgabe – Zusammenfassung nach Export + Diff:

{
  "best_matches": 60,
  "partial_matches": 993,
  "multimatches": 52,
  "unmatched_primary": 2647
}

Die Sitzung durchläuft 6 MCP-Toolaufrufe, zeigt das exakte JSON-Eingabe-/Ausgabepaar für jeden Schritt und die Überlegungen des Agenten.

Untersuchen einer einzelnen Datenbank

┃ # Datenbank-Exportinfo abrufen
┃ get_export_info(db_path="app.sqlite")
 
┃ # Nach Funktionen suchen
┃ search_export_db(db_path="app.sqlite", name_pattern="%crypt%", min_instructions=50)
 
┃ # Pseudocode abrufen
┃ get_function_pseudocode(db_path="app.sqlite", address="401000")

Projektstruktur

diaphora-mcp/
├── diaphora_mcp_server.py          # Main entrypoint
├── diaphora_mcp/
│   ├── diaphora_mcp_server.py      # MCP tool registration
│   ├── config.py                   # Path configuration and auto-detection
│   ├── models.py                   # Constants and models
│   ├── core/
│   │   ├── export.py               # Headless export, batch pipeline
│   │   ├── diff.py                 # Diffing and .diaphora results reader
│   │   ├── analysis.py             # Function search, compare, explain
│   │   ├── security.py             # Keyword matching, patch detection
│   │   ├── ranking.py              # Importance ranking
│   │   ├── graph.py                # Callgraph, BFS call trees, root cause
│   │   ├── metadata.py             # Metadata preparation (names, comments)
│   │   └── report.py               # Overall patch report generation
│   └── utils/
│       ├── sqlite.py               # SQLite helpers
│       ├── format.py               # Pseudocode diff, feature vector extraction
│       └── log.py                  # Export logging utilities
├── _diaphora_headless.py           # idat.exe -S thin wrapper
└── logs/                           # Automated export logs (created dynamically)

diaphora-mcp v1.0.5