ylca0/idalib-cliCLI nativo para agentes que encapsula o IDA Pro IDALib para análise binária sem estado com saída JSON: desmontagem, descompilação Hex-Rays, CFG, xrefs, strings e processamento de IDB em lote ou paralelo.
️ idalib-cliCLI nativa para agentes do IDA Pro IDALib — cada comando aceita uma flag -d/--db, cada resposta é JSON.
-d/--db <PATH> (um binário ou um .i64); sem daemon, sem controle de sessão.Pré-requisitos: IDA Pro 9.1 (licenciado, iniciado uma vez) · SDK do IDA 9.1 descompactado (apenas em tempo de build) · Rust + LLVM/Clang (requisitos do bindgen)
export IDADIR="/Applications/IDA Professional 9.1.app/Contents/MacOS" # IDA install dir
export IDASDKDIR=/path/to/idasdk91 # unpacked SDK (absolute path!)
git clone <this-repo> && cd idalib-cli
cargo install --path .
idalib-cli info # ✅ verify tool version, IDA version, license
O SDK é necessário apenas em tempo de build; o binário vincula suas bibliotecas locais do IDA em tempo de execução. Verificações de desenvolvimento sem um SDK:
cargo test --no-default-features --features stub-idalib.
Todo comando precisa de -d/--db <PATH> — um arquivo IDB (.i64) ou um binário (um
IDB é criado ao lado dele no primeiro uso). Endereços aceitam 0x401000 ou
401000. A saída é sempre um documento JSON; erros vão para stderr com um
código de saída diferente de zero.
| Comando | Descrição |
|---|---|
idalib-cli -d <bin-or-i64> db info | Caminhos resolvidos, estado do IDB, tamanho |
| Comando | Descrição |
|---|---|
idalib-cli -d <db> meta | Tipo de arquivo, compilador, bits |
idalib-cli -d <db> processor | Informações do processador |
idalib-cli -d <db> segments | Todos os segmentos |
idalib-cli -d <db> segments-by-range -a <ea> | Segmento que contém um endereço |
idalib-cli -d <db> functions [-u] | Lista de funções (-u = ignorar lib/thunk) |
idalib-cli -d <db> function -a <ea> | Uma função: CFG, blocos, xrefs |
idalib-cli -d <db> disasm -a <ea> [-n N] | Desmonta N instruções (padrão 8) |
idalib-cli -d <db> decompile -a <ea> [--all-blocks] | Pseudo-código Hex-Rays |
idalib-cli -d <db> insn -a <ea> | Instrução única (+ classificação group/is_call/is_ret) |
idalib-cli -d <db> strings | Lista de strings |
idalib-cli -d <db> names | Locais nomeados |
idalib-cli -d <db> xrefs [-a <ea>] [--all] [--from] | Xrefs para um endereço (padrão) ou a partir dele (--from), ou todos |
idalib-cli -d <db> find --text <s> | Busca ocorrências de texto |
idalib-cli -d <db> find --imm 0x1337 | Busca ocorrências de valor imediato |
idalib-cli -d <db> find --pattern 554889e5 | Busca um padrão de bytes hex |
idalib-cli -d <db> bytes -a <ea> [-n N] [--width byte|word|dword|qword] | Bytes brutos (hexdump) ou inteiros little-endian |
idalib-cli -d <db> entries | Pontos de entrada |
| Comando | Descrição |
|---|---|
idalib-cli -d <db> comments get|set|append|remove -a <ea> [-c "text"] | Comentários |
idalib-cli -d <db> bookmarks list|add|get|remove -a <ea> [-d "desc"] | Favoritos |
idalib-cli -d <db> rename -a <ea> -n <name> | Renomeia uma função / rótulo de dados |
idalib-cli -d <db> set-type -a <ea> -t "int f(int, char *);" | Aplica uma declaração de tipo C (protótipo de função / tipo de dados) |
idalib-cli -d <db> signatures --make [--only-pat] | Gera assinaturas FLIRT |
| Comando | Descrição |
|---|---|
idalib-cli -d <db> batch -- <op> [<op>...] | Operações sequenciais, IDB aberto uma vez |
idalib-cli parallel -d <list|glob> [--jobs N] -- <op> | Uma operação em muitos DBs, subprocesso para cada |
idalib-cli info [--version|--ida|--all] | Versão da ferramenta / IDA, licença |
🔎 Triagem de um binário desconhecido
idalib-cli -d ./sample meta # what is it? (filetype/compiler/bitness)
idalib-cli -d ./sample segments # memory layout
idalib-cli -d ./sample strings # quick hints
idalib-cli -d ./sample functions -u # user code only
🔍 Aprofundar em uma função
idalib-cli -d ./sample function -a 0x401000 # CFG + blocks + xrefs
idalib-cli -d ./sample decompile -a 0x401000 # read the pseudo-code
idalib-cli -d ./sample disasm -a 0x401000 -n 20 # or the raw instructions
idalib-cli -d ./sample xrefs -a 0x401000 --all # who calls it
📝 Anotar descobertas (sobrevive entre processos/agentes)
idalib-cli -d ./sample comments set -a 0x401000 -c "parses config, see 0x402100"
idalib-cli -d ./sample bookmarks add -a 0x401000 -d "entry point"
idalib-cli -d ./sample comments get -a 0x401000 # verify
⚡ Análise em massa de muitas amostras
# first pass: create IDBs + overview for every sample
idalib-cli parallel -d "./samples/*.bin" -- "batch -- meta functions -u"
# deep pass: decompile one hot function in every IDB
idalib-cli parallel -d "./samples/*.i64" --jobs 8 -- "decompile -a 0x401000"
🔎 Buscar e inspecionar dados brutos
idalib-cli -d ./sample find --text "MAGIC" # string hits
idalib-cli -d ./sample find --imm 0x1337 # immediate-value hits
idalib-cli -d ./sample find --pattern 554889e5 # byte pattern (prologue)
idalib-cli -d ./sample bytes -a 0x401000 -n 32 # hexdump
idalib-cli -d ./sample bytes -a 0x401000 --width qword -n 4
idalib-cli -d ./sample xrefs -a 0x401000 --from # outgoing refs (calls)
idalib-cli -d ./sample rename -a 0x401000 -n decrypt # label it
idalib-cli -d ./sample set-type -a 0x401000 -t "int f(const char *, int);" # set prototype
🤖 Inspeção em lote amigável para agentes (um documento JSON)
idalib-cli -d ./sample batch -- "meta" "segments" "functions -u" "decompile -a 0x401000"
Guia de fluxo de trabalho para agentes: skills/idalib-cli/SKILL.md; um exemplo
executável de ponta a ponta em examples/workflow.sh.
decompile){
"id": 7,
"start": "0x401000",
"end": "0x401080",
"size": 128,
"name": "main",
"blocks": 3,
"decompiled": true,
"pseudocode": "int __cdecl main(...) { ... }"
}
Opcional ~/.idapro/idalib-cli/config.toml (diretório base: $IDALIB_CLI_HOME):