Lokaler, deterministischer MCP-Server für IDA Pro/Home: 109 Reverse-Engineering-Operationen mit striktem Schema, evidenzbasierte Ergebnisse und richtlinienbasierte IDB-Bearbeitungen.
IDA Pro MCP ist ein lokaler Model Context Protocol-Server für IDA Pro. Er ermöglicht einem MCP-Client, eine IDB zu inspizieren, IDA nach deterministischen Analyseergebnissen zu fragen und, wenn ausdrücklich erlaubt, Anmerkungen oder andere Änderungen zurück in die IDB zu schreiben. Der Host-Prozess läuft außerhalb von IDA und startet standardmäßig für jede Sitzung einen separaten IDA-Headless-Prozess.
ida_*-Operationen mit Live-Erkennung über tools/list und ida_help.Die aktuelle Version ist 1.0.0a3. Dies ist Alpha-Software. Die öffentlichen ida_*-Operationsnamen, Schemas und das Workspace-Format können sich vor einem stabilen 1.0.0-Release ändern. Die Standard-Client-Oberfläche enthält 109 Operationen mit exaktem Schema. Nutzen Sie die Live-Erkennung für den vollständigen Vertrag: tools/list zählt jede Operation mit ihrem Schema auf, und ida_help(topic="...") liefert die exakten Argumente und ein Beispiel für eine Operation.
Sie benötigen:
idat/idat64-Executable. Die Live-Test-Evidenz des Repositories deckt IDA 9.3 und 9.4 ab; 9.2 ist die deklarierte Kompatibilitätsuntergrenze.Die normale Analyse erfordert kein Sprachmodell oder Embedding-Modell. Die optionalen semantischen Suchfunktionen verwenden standardmäßig ein lokales Modell und bleiben deaktiviert, wenn kein Modell konfiguriert ist.
Die Standard-Laufzeit ist idat: ein Headless-IDA-Prozess pro Sitzung. Das idalib-Backend ist experimentell, erfordert eine IDA-9.3-oder-neuere-Installation mit aktiviertem idapro-Paket und ist für eine Erstinstallation nicht erforderlich.
Der Installer erstellt eine verwaltete Umgebung unter dem Installationsstammverzeichnis, installiert eine eingefrorene Kopie des Checkouts darin und schreibt die Client-Konfiguration für die unterstützten Client-Speicherorte. Führen Sie aus dem Repository-Stammverzeichnis aus:
python3 install.py
Für eine bekannte IDA-Installation übergeben Sie diese explizit:
python3 install.py --ida-dir /path/to/ida-pro-9.3
Für einen nicht-interaktiven Lauf:
python3 install.py --yes --no-ida-prompt --ida-dir /path/to/ida-pro-9.3
Der Installer kann IDA auch über IDADIR, IDA_DIR, die IDA-Executables im PATH und gängige Installationsverzeichnisse finden. --ida-version wählt eine Version aus, wenn mehr als eine Installation vorhanden ist. Verwenden Sie --dry-run, um die geplanten Änderungen zuerst zu prüfen.
Der Installer lädt kein Embedding-Modell herunter, es sei denn, Sie wählen oder fordern eines an. Er kann Konfigurationsdateien für jeden Client-Speicherort in seiner integrierten Client-Map erstellen oder aktualisieren, einschließlich Clients, die nicht auf Ihrem Rechner installiert sind. Prüfen Sie install-report.json im Installationsstammverzeichnis und entfernen Sie nicht verwendete Einträge, falls nötig. Bestehende reguläre Konfigurationsdateien werden vor der Änderung gesichert; fehlerhafte, symlinkte oder nicht-reguläre Dateien werden abgelehnt statt überschrieben.
Starten Sie den MCP-Client nach der Installation neu, damit er seine Konfiguration neu lädt.
Agenten-Harnesses entdecken die Tool-Oberfläche live: tools/list zählt jede Operation mit ihrem Schema auf, und ida_help(topic="...") liefert exakte Argumente und ein Beispiel. Es werden keine statischen Skill-Dateien installiert.
Das Standard-Installationsstammverzeichnis ist:
~/.local/share/ida-pro-mcp%LOCALAPPDATA%/ida-pro-mcpSetzen Sie IDA_PRO_MCP_HOME oder übergeben Sie --install-root, um einen anderen Speicherort zu wählen.
Alpha-Releases werden von GitHub Actions erstellt und manuell als Prereleases veröffentlicht. Wenn ein Release verfügbar ist, laden Sie das bundle.zip- oder bundle.tar.gz-Asset und die zugehörige SHA256SUMS-Datei von der Releases-Seite herunter. Verifizieren Sie die Prüfsumme, entpacken Sie das Bundle und führen Sie den Installer aus seinem obersten Verzeichnis aus:
python3 install.py --yes --no-ida-prompt --ida-dir /path/to/ida-pro-9.3
Das Release enthält außerdem ein Wheel und eine Source-Distribution für skriptgesteuerte Python-Installationen. Das Bundle ist der einfachste Weg, da es den Installer und alle Projektdateien enthält, die zur Konfiguration eines MCP-Clients benötigt werden. Releases sind von Alpha-Qualität; bewahren Sie die Original-Binärdatei und IDB auf und lesen Sie die Release-Notes vor einem Upgrade.
Der Installer schreibt den Server-Eintrag für die ihm bekannten Client-Konfigurationspfade. Er unterstützt Gemini CLI, Antigravity, Antigravity IDE, Antigravity CLI, Claude Code, Codex, Copilot CLI, OpenCode, Claude Desktop, Cursor, VS Code, Windsurf, Cline und Roo Code. OpenCode und Clients aus der Copilot-Familie verwenden unterschiedliche Konfigurationsformen; lassen Sie den Installer diese Dateien schreiben oder folgen Sie der OpenCode-Einrichtungsanleitung.
Für einen Client, der das gängige JSON-Format verwendet, entspricht der Eintrag:
{
"mcpServers": {
"ida-pro-mcp": {
"command": "/path/to/ida-pro-mcp/.venv/bin/python",
"args": ["-u", "-m", "ida_pro_mcp.host.server"],
"env": {
"IDA_PRO_MCP_HOME": "/path/to/ida-pro-mcp",
"IDADIR": "/path/to/ida-pro-9.3",
"IDA_MCP_TOOL_SURFACE": "agent"
}
}
}
}
Unter Windows verwenden Sie den verwalteten Interpreter unter <install-root>/.venv/Scripts/python.exe. Die wichtigen Details sind der verwaltete Interpreter, -u -m ida_pro_mcp.host.server, das ausgewählte IDA-Verzeichnis und IDA_MCP_TOOL_SURFACE=agent. Richten Sie den Client nicht auf install.py; diese Datei ist der Installer, nicht der MCP-Server.
Starten Sie den Client nach einer Änderung der Client-Konfiguration vollständig neu und prüfen Sie, ob ida_help in seinen verfügbaren Operationen erscheint. Wenn der Client nur eine veraltete breite tool(action=...)-Schnittstelle anzeigt, prüfen Sie, ob die Umgebung die Standard-agent-Oberfläche statt IDA_MCP_TOOL_SURFACE=legacy auswählt.
Verwenden Sie zunächst einen absoluten Pfad zu einer Test-Binärdatei. Das Öffnen einer Binärdatei wartet normalerweise auf den Abschluss von IDAs initialer Analyse; eine große Binärdatei kann Zeit in Anspruch nehmen.
ida_open_binary(binary_path="/absolute/path/to/sample")
ida_session_status()
ida_overview()
ida_list_imports(limit=30)
ida_list_strings(query="http", limit=30)
ida_find(query="main", limit=20)
ida_decompile(address="<address returned by IDA>")
ida_xrefs_to(address="<same address>")
Verwenden Sie ida_help(topic="ida_decompile"), wann immer Sie das exakte Argument-Schema benötigen. Öffentliche Operations-Schemas sind strikt: unbekannte Argumente werden abgelehnt. Adressen können je nach individuellem Operationsvertrag als Integer oder Strings akzeptiert werden; verwenden Sie die von ida_help angezeigte Form für die Operation in Ihrem Client.
Für einen kleinen Untersuchungsdatensatz sind die Workspace-Findings-Operationen:
ida_write_finding(title="Input reaches parser", address="<address returned by IDA>", kind="finding", status="confirmed", confidence=0.8, evidence=[{"type":"call", "value":"recv", "address":"<evidence address>"}])
ida_analysis_brief()
ida_next_target()
ida_export_findings(format="markdown")
Workspace-Findings werden getrennt von IDB-Bearbeitungen aufbewahrt. Wenn die aktive Policy den Workspace-Schreibvorgang erlaubt, zeichnet ida_write_finding ein Finding lokal auf; andernfalls gibt der Server einen Policy-Fehler zurück. ida_publish_findings(dry_run=true) zeigt IDB-Änderungen als Vorschau an. Veröffentlichen, Umbenennen, Patchen und andere IDB-Mutationen sind policy-gesteuert und erfordern die dokumentierte Anerkennung der Operation, wo die Operation eine solche bereitstellt.
Die Startseite bleibt aufgabenorientiert, aber dieser kompakte Index hält die öffentliche Oberfläche leicht überblickbar. Jeder untenstehende Name wird beim Aufruf mit ida_ präfixiert. Die vollständigen Schemas und Beispiele sind live über tools/list und ida_help(topic="...") verfügbar.
| Gruppe | Operationen |
|---|---|
| Session | open_binary, open_background, session_state, session_status, session_health, close_session, session_get, session_list, sso_activate, agent_login, agent_logout, session_switch |
| Discovery | overview, find, semantic_search, reranker_status, function_families, index_functions, index_status, cancel_index, list_functions, list_strings, list_imports, list_types, list_segments, list_sigs, sreg_get, sreg_list, auto_wait, events, registers, search_data_value, search_query_lang, r2_status, r2_bininfo, r2_load_hints, r2_disassemble_hypothesis, r2_vxrefs, fw_detect_vector_table, fw_detect_load_base, fw_detect_mmio, fw_rtos_scan, fw_carve |
| Code | decompile, disassemble, compare_functions, diff_sessions, xrefs_to, callers, callees, read_bytes, get_type, callgraph, emulate |
| Findings |
Die Basis-Policy des Servers ist assist. Eine Sitzung kann die Basis-Policy des Operators verschärfen, aber nicht lockern. Die Policy ist deterministisch; sie entscheidet nicht, dass eine riskante Operation sicher ist, weil ein Client darum bittet.
Read-only-Inspektion ist der normale Ausgangspunkt. Beispiele sind ida_overview, ida_find, ida_list_functions, ida_list_strings, ida_list_imports, ida_decompile, ida_disassemble, ida_xrefs_to, ida_callers, ida_callees, ida_callgraph, ida_read_bytes und die Berechnungsoperationen. Diese verbrauchen dennoch lokale Dateien und IDA-Ressourcen, und der MCP-Client erhält ihre Ergebnisse.
Die folgenden Aktionen verändern dauerhaften Zustand oder führen Code aus und sollten als hochgradig wirkungsvoll behandelt werden:
ida_rename, ida_comment, ida_patch_bytes, Funktions-/Typ-/Segment-/Datenänderungen, Signaturanwendung, ida_save_idb, Snapshots und Undo/Restore-Operationen können die IDB oder zugehörigen Zustand verändern.ida_publish_findings schreibt Findings in die IDB. Führen Sie zuerst die Dry-Run-Form aus; die Nicht-Dry-Run-Form ist gated.ida_close_session reißt die laufende IDA-Laufzeit ab und ist aus Sicht der Sitzung destruktiv.ida_python führt beliebiges Python im aktiven IDA-Prozess aus. Es ist im Safe-Mode blockiert und erfordert unter der normalen Policy eine explizite Risiko-Anerkennung.ida_emulate ist nützlich für kontrollierte Prüfungen, aber mutierende Emulator-Aktionen erfordern die entsprechende Anerkennung.ida_til_export und ida_til_import greifen auf das Dateisystem zu und sind gated. Dateisystempfade sind durch das konfigurierte Memory-Root eingeschränkt, wo dieser Guard gilt.Verwenden Sie --disable-policy nicht als Bequemlichkeitsflag. Es setzt IDA_MCP_POLICY_MODE=off und deaktiviert alle Policy-Gates, einschließlich Schreib-Anerkennungen und anderer Workflow-Kontrollen. Wenn ein Aufruf verweigert wird, lesen Sie den ida_help-Eintrag der Operation und übergeben Sie das exakt anerkannte Argument nur dann, wenn das Schema dieser Operation es unterstützt.
Während IDA noch die initiale Analyse durchführt, blockiert der Safe-Mode einige Ganz-Binärdatei-Analysen, Indizierungen und Skriptoperationen. Er soll frühe Sitzungsaufrufe eng halten; pollen Sie ida_session_status oder ida_session_health, statt den Guard zu umgehen.
Die Bridge lauscht auf Loopback und verwendet ein Token pro Sitzung. Sie ist kein Netzwerkdienst: Stellen Sie den Bridge-Port nicht einem nicht vertrauenswürdigen Netzwerk bereit und leiten Sie ihn nicht dorthin weiter. Behandeln Sie importierte Skripte, Traces, Binärdateien, Korpusdaten und Client-Anfragen als nicht vertrauenswürdige Eingaben.
Der normale Host-zu-IDA-Pfad ist lokal. Das Projekt betreibt keinen integrierten LLM-Dienst im Analysepfad, und lokales Embedding ist opt-in. Das macht den gesamten Workflow jedoch nicht automatisch offline:
llama-server-Downloads, optionale Threat-Corpus-Downloads und externe Rizin/radare2-Integrationen können Netzwerkanfragen stellen, wenn sie aktiviert sind.Für ein rein lokales Setup verwenden Sie die Standard-Laufzeit, lassen Sie Gemini und andere optionale Downloads deaktiviert und konfigurieren Sie den MCP-Client und sein Modell gemäß der Datenrichtlinie Ihrer Organisation. „Local-only“ erfordert dennoch die Prüfung, was der Client an seinen eigenen Modellanbieter sendet.
Übergeben Sie das Installationsverzeichnis explizit:
python3 install.py --ida-dir /path/to/ida-pro-9.3
Sie können auch IDADIR oder IDA_DIR setzen. Wenn mehrere Installationen gefunden werden, verwenden Sie --ida-version 9.3 oder --no-ida-prompt, um die Auswahl zu steuern. Bestätigen Sie, dass das ausgewählte Verzeichnis eine ausführbare idat oder idat64 enthält.
Starten Sie den Client neu und prüfen Sie seinen Konfigurationseintrag. Bestätigen Sie, dass sein Befehl den verwalteten venv-Python und -u -m ida_pro_mcp.host.server verwendet und dass der env-Block das korrekte IDADIR enthält. Prüfen Sie install-report.json; der Installer zeichnet Client-Update-Fehler auf und bewahrt Backups neben geänderten Dateien auf. Die Konfigurationsformen von OpenCode und der Copilot-Familie unterscheiden sich vom gängigen JSON-Beispiel.
Der normale ida_open_binary-Aufruf wartet auf die initiale Analyse. Prüfen Sie ida_session_status und ida_session_health, gewähren Sie einer großen Binärdatei mehr Zeit und prüfen Sie die Sitzungslogs unter dem Installations-/Datenverzeichnis. Die Background-Open-Operation ist verfügbar, aber sie ist für Fälle gedacht, in denen Sie ihr asynchrones Verhalten und die Safe-Mode-Einschränkungen verstehen.
Dies ist normalerweise die Policy, die wie konfiguriert arbeitet. Verwenden Sie ida_help, um das exakte Schema der Operation und ihre Anerkennungsanforderung zu prüfen. Fügen Sie keine beliebigen Argumente hinzu: Schemas sind strikt. Prüfen Sie IDA_MCP_POLICY_MODE und die Operator-Policy-Datei, bevor Sie die Policy ändern. Das Deaktivieren aller Policy-Gates ist eine separate, bewusst unsichere Wahl.
Die semantische Suche ist optional und erfordert einen Index und ein kompatibles Embedding-Backend. Normales Auflisten, Suchen, Dekompilieren und Cross-Referenzieren erfordern sie nicht. Um den optionalen lokalen Pfad einzurichten, verwenden Sie die expliziten Embedder-Optionen des Installers, zum Beispiel:
python3 install.py --setup-embedder
Der Installer kann auch --embedder-doctor ausführen, einen expliziten Modellpfad verwenden oder ein ausgewähltes Modell und llama-server herunterladen, wenn angefordert. Modelllizenzen, Speicherplatznutzung und Netzwerkdownloads liegen in Ihrer Verantwortung. Wenn das Modell fehlt, sollte der Server die semantische Suche als nicht verfügbar melden, statt vorzutäuschen, dass sie ausgeführt wurde.
Korrigieren Sie die gemeldete JSON-, JSONC- oder TOML-Syntax und führen Sie den Installer erneut aus. Er lehnt auch symlinkte und nicht-reguläre Konfigurationspfade ab, um das Überschreiben eines unerwarteten Ziels zu vermeiden. Bestehende reguläre Dateien werden gesichert; das Standard-Rollback-Verhalten des Installers kann diese Backups wiederherstellen, wenn eine spätere Phase fehlschlägt.
Prüfen Sie ida_session_health, das Sitzungslog und das Bridge-Log. Bestätigen Sie, dass der Client dasselbe Installationsstammverzeichnis und IDADIR verwendet, die der Installer aufgezeichnet hat. Das Standard-idat-Backend gibt jeder Sitzung ihren eigenen Prozess; wechseln Sie nicht zum experimentellen idalib, während Sie eine Basisinstallation diagnostizieren.
tools/list und ida_help legen jede öffentliche Operation, jedes Schema und jedes Beispiel offen.Für exakte Operationsnamen verwenden Sie die generierte Referenz oder fragen Sie den laufenden Server mit ida_help. Das ältere tool(action=...)-Backend bleibt aus Kompatibilitätsgründen verfügbar und wird mit IDA_MCP_TOOL_SURFACE=legacy ausgewählt; neue Integrationen sollten die ida_*-Oberfläche mit exaktem Schema verwenden.
write_finding, mark_examined, list_findings, search_findings, update_finding, export_findings, publish_findings, import_annotations, analysis_brief, next_target |
| Edit | create_function, change_function, rename, comment, patch_bytes, save_idb, make_code, undefine, rename_local, declare_type, apply_type, add_segment, set_segment_attrs, apply_sig, sreg_set, create_data, create_strlit, undo_begin, undo_end, add_entry, idb_snapshot, idb_restore_snapshot, struct_member_add, struct_member_del, struct_member_rename, struct_member_set_type, enum_member_add, enum_member_rename, enum_member_revalue, til_delete, til_export, til_import, mark_dangerous |
| Calculation | calc_eval, calc_offset, calc_convert, calc_resolve, calc_deref, calc_chain, calc_align, calc_bitops |
| Support | python, continue, help |
| Workflow | batch |