GhidrAssist

Autor: Jason Tang

Un plugin avanzado impulsado por LLM para asistencia interactiva en ingeniería inversa dentro de Ghidra.

Descripción

GhidrAssist integra Modelos de Lenguaje de Gran Tamaño (LLMs) en Ghidra para proporcionar asistencia inteligente en la exploración de binarios e ingeniería inversa. Es compatible con cualquier API compatible con OpenAI v1, incluyendo modelos locales (Ollama, LM-Studio, Open-WebUI) y proveedores en la nube (OpenAI, Anthropic, Azure).

Características principales

Funcionalidad principal:

• Explicación de código - Explica funciones e instrucciones tanto en desensamblado como en pseudo-C descompilado
  • Panel de análisis de seguridad que muestra nivel de riesgo, perfil de actividad y uso de API
  • Resúmenes editables con protección contra sobrescritura automática por parte del usuario
• Chat interactivo - Consultas conversacionales de múltiples turnos con historial de chat persistente
• Consultas personalizadas - Consultas directas al LLM con contexto opcional de la función/ubicación actual

Sistema de conocimiento Graph-RAG:

• Grafo de conocimiento semántico - Representación jerárquica del análisis de binarios
  • Jerarquía semántica de 5 niveles: Sentencia → Bloque → Función → Módulo → Binario
  • Resúmenes LLM precalculados que permiten consultas rápidas sin LLM
  • Persistencia en SQLite con algoritmos de grafo JGraphT
  • Búsqueda de texto completo (FTS5) en resúmenes y anotaciones de seguridad
• Detección de comunidades - Descubrimiento automático de módulos mediante el algoritmo de Leiden
  • Agrupa funciones relacionadas en módulos lógicos
  • Estructura comunitaria jerárquica con resúmenes
  • Exploración visual de grafos con profundidad configurable
• Extracción de características de seguridad - Análisis de seguridad integral
  • APIs de red: sockets POSIX, WinSock, DNS, SSL/TLS, WinHTTP, WinINet
  • APIs de E/S de archivos: POSIX, Windows, funciones de la biblioteca C
  • APIs criptográficas: OpenSSL, criptografía de Windows, específicas de plataforma
  • Patrones de cadenas: direcciones IP, URLs, dominios, rutas de archivos, claves de registro
  • Clasificación de nivel de riesgo (BAJO/MEDIO/ALTO) y perfilado de actividad
• Pestaña de grafo semántico - Interfaz visual de grafo de conocimiento
  • Vista de grafo con exploración de profundidad N-hop
  • Vista de lista de todas las funciones indexadas
  • Búsqueda semántica en los resúmenes
  • Reindexación y análisis de seguridad con un clic

Capacidades avanzadas:

• Control de razonamiento/pensamiento extendido - Ajusta la profundidad de razonamiento del LLM para equilibrar calidad y velocidad
  • Soporte para OpenAI o1/o3/o4, Claude con pensamiento extendido y modelos de razonamiento locales
  • Niveles de esfuerzo configurables: Bajo (rápido), Medio (equilibrado), Alto (exhaustivo)
  • Persistencia por programa - diferentes binarios pueden usar diferentes niveles de razonamiento
  • Implementación independiente del proveedor (Anthropic, OpenAI, Azure, LiteLLM, LMStudio, Ollama)
• Modo agéntico ReAct - Investigación autónoma mediante razonamiento estructurado (Pensar-Actuar-Observar)
  • El LLM propone pasos de investigación basados en tu consulta
  • Ejecución sistemática de herramientas con seguimiento de progreso mediante listas de tareas
  • Preservación del historial de iteraciones mostrando todos los pasos de investigación
  • Síntesis final con respuesta integral y hallazgos clave
  • Métricas precisas (iteraciones, llamadas a herramientas, duración)
• Integración MCP - Cliente del Model Context Protocol para análisis basado en herramientas
  • Funciona con GhidrAssistMCP para herramientas específicas de Ghidra
  • Llamada a herramientas conversacional con ejecución automática de funciones
  • Soporte para transporte SSE (Server-Sent Events)
• Llamada a funciones - El LLM puede navegar autónomamente por binarios y modificar el análisis
  • Renombrar funciones y variables
  • Navegar a direcciones y referencias cruzadas
  • Ejecutar comandos de Ghidra
• Pestaña de acciones - Proponer y aplicar mejoras de análisis en lote
  • Detección de vulnerabilidades de seguridad
  • Análisis de calidad de código
  • Sugerencias automatizadas de refactorización
• RAG (Generación Aumentada por Recuperación) - Mejorar consultas con documentos contextuales
  • Añadir documentación personalizada, notas de explotación, referencias de arquitectura
  • Búsqueda de texto completo basada en Lucene
  • Inyección de contexto en las consultas
• Generación de conjuntos de datos RLHF - Recopilar retroalimentación para el ajuste fino de modelos

Arquitectura

El plugin utiliza una arquitectura modular orientada a servicios:

Servicios principales:

• Modos de consulta: Consultas regulares, consultas mejoradas con MCP o investigación agéntica completa
• Orquestador ReAct: Gestiona bucles de investigación autónomos con seguimiento de tareas y acumulación de hallazgos
• Manejador de herramientas conversacional: Gestiona sesiones de llamada a herramientas de múltiples turnos
• MCPToolManager: Interactúa con servidores MCP externos para herramientas especializadas

Backend Graph-RAG:

• BinaryKnowledgeGraph: Almacenamiento híbrido SQLite + JGraphT para conocimiento semántico
• GraphRAGEngine: Motor de consultas sin LLM que utiliza resúmenes precalculados
• SemanticExtractor: Resumidor de funciones impulsado por LLM con procesamiento por lotes
• SecurityFeatureExtractor: Análisis estático para APIs de red, E/S de archivos y criptografía
• CommunityDetector: Implementación del algoritmo de Leiden para descubrimiento de módulos

Capa de datos:

• AnalysisDB: Base de datos SQLite para historial de chat, retroalimentación RLHF y grafos de conocimiento
• SchemaMigrationRunner: Migraciones de base de datos versionadas para actualizaciones transparentes
• RAGEngine: Búsqueda de documentos impulsada por Lucene para inyección de contexto personalizado

Componentes de interfaz de usuario:

• Interfaz basada en pestañas: Explicar, Consulta, Acciones, Grafo Semántico, Gestión RAG, Servidores MCP
• Orquestación de servicios mediante TabController

Hoja de ruta futura:

• Ajuste fino de modelos utilizando el conjunto de datos RLHF recopilado
• Integraciones adicionales de herramientas MCP
• Capacidades agénticas mejoradas, colaboración multiagente
• Búsqueda de similitud basada en embeddings

Capturas de pantalla

Screenshot

https://github.com/user-attachments/assets/bd79474a-c82f-4083-b432-96625fef1387

Inicio rápido

• Si es necesario, copia el archivo ZIP de la versión binaria al directorio Ghidra_Install/Extensions/Ghidra.
• Inicia Ghidra -> Archivo -> Instalar extensión -> Habilitar GhidrAssist.
• Carga un binario y lanza el CodeBrowser.
• CodeBrowser -> Archivo -> Configurar -> Misceláneo -> Habilitar GhidrAssist.
• CodeBrowser -> Ventana -> GhidraAssistPlugin.
• Asegúrate de que las rutas de las bases de datos RLHF y RAG sean apropiadas para tu entorno.
• Apunta el host de la API a tu proveedor de API preferido y establece la clave de API.
• (Opcional) En la pestaña de Opciones de análisis, establece el nivel de Esfuerzo de razonamiento (Ninguno/Bajo/Medio/Alto) para modelos que admitan pensamiento extendido.
• Abre GhidrAssist con la opción GhidrAssist en el menú Ventanas y comienza a explorar.

Configuración del LLM

GhidrAssist funciona con cualquier API compatible con OpenAI v1. Los detalles de configuración son específicos de cada proveedor; aquí hay algunos recursos útiles:

Proveedores LLM locales:

• LM Studio - Alojamiento local de modelos fácil con GUI
• Ollama - Gestión local de modelos desde línea de comandos
• Open-WebUI - Interfaz web para modelos locales