## Что это такое

Автоанализ IDA Pro выполняется в одном потоке. Для 34 МБ DLL-файла il2cpp это *минуты*. spectrIDA разбивает бинарник на N фрагментов, запускает их параллельно через idalib, объединяет в один `.i64`, а затем позволяет точно настроенной 8B модели **называть каждую функцию** — всё из одного терминального интерфейса с киберпанк-темой и ровно таким количеством сарказма, какое нужно.

Это Глава 1, и она самодостаточна: чистая скорость, никакого ИИ не требуется, если не хотите.

Глава 2 превращает результат в нечто, переживающее сессию, — граф Neo4j, в котором клиент MCP (Claude, [pi](https://pi.dev) или любой другой, понимающий MCP) может реально *жить*, вместо того чтобы копировать вывод декомпилятора в окно чата по одной функции за раз:```
Binary  ─▶  Parallel IDA Analysis  ─▶  Demangle  ─▶  AI Naming  ─▶  Neo4j Graph  ─▶  MCP Server  ─▶  Claude
              (N idalib shards)       (free, real)   (stripped     (persists,        (search/chain/
                                                       leftovers     forever,          rename, live)
                                                       only)         across sessions)

Требования: **IDA Pro 9.x** with idalib · **Python 3.10+** · **Ollama**```bash
# install Ollama (Windows)
winget install Ollama.Ollama

# pull the model (8.7 GB — go get coffee)
ollama pull hf.co/gdfhhjk/spectrida-re-gguf:latest

# first run — detects your IDA install and sets everything up
spectrida onboard

# or just try the demo right now
spectrida --demo

---

## Клавиши TUI

| Key | Action |
|-----|--------|
| `N` | Назвать выбранную функцию — AI транслирует результат в реальном времени |
| `R` | Переименовать — предварительно заполнено предложением AI |
| `D` | Переключить декомпилированный псевдокод (Hex-Rays) |
| `C` | Цепочка вызовов — вызывающие и вызываемые функции |
| `B` | Пакетное именование всех функций `sub_*` в текущем списке |
| `O` | Обзор — AI сводка всего бинарного файла |
| `/` | Нечёткий поиск |
| `?` | Справка |
| `Q` | Выход |

---

## Программный API

TUI не требуется — управляйте spectrIDA из скриптов, Claude Code, блокнотов и т. д.:```python
import asyncio
from spectrida.api import open_i64

async def main():
    async with open_i64("GameAssembly.i64") as db:

        # list all 153k functions
        funcs = await db.list_functions()

        # name one function — returns name + reasoning + confidence
        result = await db.name_function(0x10001000)
        print(result["new_name"])     # init_atexit_handler
        print(result["reasoning"])    # allocates array of 3 fn ptrs, calls _atexit...

        # batch name everything (with live progress)
        async def on_progress(done, total, r):
            print(f"  {done}/{total}  {r['old_name']} -> {r['new_name']}")

        await db.batch_name(limit=500, rename=True, progress_cb=on_progress)

        # ask what the binary does
        overview = await db.overview()
        print(overview)

        # export to IDA script
        await db.export("names.idc", fmt="idc", named_only=True)

asyncio.run(main())

Переопределения переменных среды: `SPECTRIDA_IDALIB` · `SPECTRIDA_MODEL` · `SPECTRIDA_WORKERS` · `SPECTRIDA_OLLAMA_URL`

---

## Добавление нового бинарного формата

Поддержка форматов — это система плагинов, а не куча веток if/elif — PE, NSO и ELF — это просто файлы в каталоге `spectrida/analysis/formats/`, которые обнаруживаются автоматически. Выполните `spectrida formats`, чтобы увидеть, что сейчас зарегистрировано.```bash
$ spectrida formats
ELF        spectrida.analysis.formats.elf.ELFHandler
NSO        spectrida.analysis.formats.nso.NSOHandler
PE         spectrida.analysis.formats.pe.PEHandler
generic    spectrida.analysis.formats.generic.GenericHandler

@staticmethod
def sniff(header: bytes, path: str) -> bool:
    return header[:4] == b"MYF0"          # however you recognize the format

def prepare(self, path: str, workdir: str) -> PreparedImage:
    # Format idalib already loads natively (ELF, PE, Mach-O)? Just parse
    # the section/segment table — return the original path unchanged.
    return PreparedImage(
        binary_path=path,
        image_base=0,
        sections=[Section(name=".text", va=0x1000, raw_off=0x400,
                           raw_size=0x2000, vsize=0x2000, is_code=True)],
        arch=None,        # set "x86_64"/"arm64" only if IDA can't detect it itself
    )

# Only needed if idalib has NO native loader for this format (NSO is the
# example): do any manual idaapi/ida_segment setup here, called right
# after idapro.open_database() succeeds, before analysis starts.
# def post_open(self) -> None: ...

Вот весь контракт:

| Метод | Обязателен? | Что делает |
|---|---|---|
| `sniff(header, path)` | да | Проверка магических байт/расширения — определяет, принадлежит ли файл этому обработчику? |
| `prepare(path, workdir)` | да | Возвращает `PreparedImage`: файл, который idalib должна открыть, и его таблицу секций |
| `post_open()` | нет (по умолчанию ничего не делает) | Ручная настройка сегментов для форматов без нативного загрузчика IDA (см. `nso.py`) |
| `make_shard_binary(image, dst, va_start, va_end)` | нет (по умолчанию работает) | Переопределять только если обнуление байтов секций за пределами шарда неверно для вашего формата (см. `nso.py` — никогда не обнуляйте сжатый файл) |
| `code_range(image)` | нет (по умолчанию работает) | Переопределять только если «мин/макс секций `is_code`» не является правильным ответом |
| `read_bytes(image, va_start, va_end)` | нет (по умолчанию работает) | Переопределять, если `prepare()` уже хранит нужные байты в памяти (NSO), а не на диске |
| `global_entry_points(image, text_start, text_end)` | нет (по умолчанию: None) | Переопределять только если локальное сканирование по шарду может пропустить реальные точки входа — NSO нужно это, потому что конечные функции AArch64 обнаруживаются только через цели BL, видимые в других частях бинарника, а не через локальное сканирование пролога |

Посмотрите на `formats/pe.py` как на самый простой возможный обработчик (чистый разбор заголовков, без переопределений) и
`formats/nso.py` как на полный случай (обёртка распаковки + ручная настройка сегментов + все переопределения).

Сторонние пакеты также могут зарегистрировать обработчик, вообще не касаясь исходного кода spectrIDA, через
группу точек входа `spectrida.formats`:```toml
# in a separate package's pyproject.toml
[project.entry-points."spectrida.formats"]
myformat = "spectrida_myformat_plugin:HANDLER"

Вот и всё. Он автоматически регистрирует сервер с Claude Code и pi (подтягивая `mcp` + `neo4j`, если простая `pip install spectrida` их пропустила), записывает их конфиг и сообщает, какой рестарт вы ему должны.

**Что на самом деле получает Claude, когда Neo4j запущен (секция `[graph]` конфига `spectrida`, или просто укажите на локальный экземпляр):**

- `search_functions` / `get_function` / `get_callees` / `get_callers` / `trace_chain` — быстрые кэшированные чтения графа. `get_function` возвращает псевдокод **и** дизассемблер (точные границы инструкций и операнды — то, что псевдокод дать не может, а это важно в момент, когда вы переходите от «что это делает» к «где именно это нужно пропатчить») плюс встроенные вызывающие/вызываемые, так что Claude решает, углубляться ли по цепочке, глядя, является ли вызываемая функция всё ещё `sub_*` прямо в ответе — никакого лишнего обращения только чтобы узнать, что больше нечего смотреть.
- `get_full_pseudocode` / `rename_function` — «живые», авторитетные чтения/записи непосредственно в `.i64`, когда кэшированного фрагмента недостаточно или имя наконец выяснено.
- `analyze_binary` — передайте ему бинарник, который он никогда не видел (PE или NSO, в любом случае параллельно сегментированный), и он запускает весь конвейер: анализ → демангинг (Itanium *и* MSVC) → именование с помощью ИИ действительно обрезанных остатков → внесение всего в граф — как одна фоновая задача, которую вы опрашиваете, поэтому многочасовая работа никогда не блокирует разговор.
- `doctor` / `start_all` — проверьте или запустите llama-server + Neo4j, не выходя из чата. Если сам llama-server нигде не установлен, `start_all` сначала загружает его через winget (Windows) или brew (macOS) — никакой отдельной загрузки/установки llama.cpp не требуется.

Это не магия — функция, которая всё ещё называется `sub_140001234`, потому что никто на неё ещё не посмотрел, так и остаётся `sub_140001234`. Но граф запоминает всё, что модель *уже* выяснила, навсегда, между сеансами, и Claude может перемещаться по нему как коллега, который уже прочитал кодовую базу, вместо того чтобы пялиться на одну функцию за раз.

**Ещё в разработке:**

- **Глубокое контекстное именование** — проследить деревья вызовов на N уровней вглубь, передать полную цепочку модели. Функция на расстоянии 3 переходов от `encrypt_block` должна знать, что она на пути криптографии.
- **Деобфускация** — обнаружение шаблонов TigressVM и трассировка обработчиков
- **Реальное патчирование** — теперь дизассемблер находится в графе, поэтому агент *может* спланировать патч на уровне байтов; превращение «вот точная инструкция, которую нужно изменить» в «а вот и запись» — следующий шаг.

---

## Глава 3 — призрак проходит сквозь стены

Главы 1 и 2 читают бинарник и запоминают его. Но чтение функции говорит вам, чем она *является*, но никогда — что она *делает*, когда вы нажимаете на спусковой крючок. Глава 3 — [**phantomrt**](https://pypi.org/project/phantomrt/) — нажимает на спусковой крючок.```bash
pip install "spectrida[atlas]"

**И, в духе истории ужасов NSO выше:** первая настоящая охота на баги честно не нашла *ничего* — и причина была интереснее, чем если бы был крэш. Направив на действительно старую, действительно уязвимую FreeType, слепой фаззинг получил ноль. Затем фаззинг, управляемый покрытием, торжественно сообщил о покрытии **64 000 рёбер** — что было ложью, потому что бинарник был PIE, и ASLR тихо перерандомизировал адреса при каждом запуске, так что «новое покрытие» в основном состояло из того, как загрузчик тасовал колоду. Отключаем ASLR — честное число падает до *реальных* 727 рёбер и останавливается на этом — потому что каждое начальное значение было шрифтом TrueType, и фаззер оказался заперт в одном парсере и не мог структурно мутировать, чтобы попасть в код CFF/Type1/BDF, где на самом деле живут баги. Исправление было не в более умном мутаторе, а в лучших начальных значениях: агент загрузил настоящие образцы OpenType/Type1/BDF, покрытие подскочило с 727 до 4 013 ещё до первой итерации фаззинга, и он начал исследовать правильно. Но крэша в рамках бюджета так и не произошло — это честное состояние 3-минутного прогона на одном ядре по сравнению с задачей, которая обычно занимает часы. Механизм реален. Он поймал своё *собственное* фальшивое число вместо того, чтобы сообщить его. В этом вся суть.

**Честный отказ призрака:** phantomrt — это `0.1.0`. Альфа. Это надёжный динамический слой, а не магический оракул багов — он мгновенно находит внедрённые баги в игрушечной цели, а на реальных целях он честно сообщает, когда застрял (`needs_state`), когда крэш — лишь *кандидат* (проверьте, действительно ли указатель управляется вводом), и когда ему просто нужно больше времени и лучшие начальные значения. Бинарники Switch не запускаются вживую — Frida нужно что-то, что можно запустить — так что там эмуляция — единственный путь, и он будет часто говорить `needs_state`. Это честно, а не сломано.

Это специально тяжёлое дополнение (`torch`, `unicorn`, `frida`) — базовая установка `pip install spectrida` не тянет ничего из этого. Исходный код находится в [`phantomrt/`](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/HEAD/phantomrt/); его собственная README в стиле призрака находится [прямо здесь](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/HEAD/phantomrt/README.md).

*Статический призрак называет ваши функции. Этот заставляет их признаваться.* 👻

---

## Лицензия

MIT. Делайте с ним что хотите. Если работает — круто.
Если нет — вините квантование GGUF.

Создано с помощью злобы, кофе и RTX 4070.
У модели 199 загрузок и нулевой маркетинг. Каждая добавляет 0.01% к скорости разработки.
(Это неправда. Но близко.) 👻