Enigma Engine

一个受 Ghidra 分析流水线启发的原生 C++ 逆向工程引擎。

Enigma 移除了对 JVM 的依赖，并提供了一个独立的分析核心，可被嵌入、扩展，并直接与原生工具和 AI 系统集成。

---

当前状态

Enigma 正在积极开发中，并且已经拥有一个可用的端到端分析流水线。

分析引擎

• PE、ELF（32/64 位，LE/BE，通过程序头处理 stripped 二进制）、Mach-O（包括 fat/universal）、COFF 对象/归档，以及 Ghidra .gzf/.rep 导入路径
• 通过 Capstone + 编译后的 SLEIGH 规范实现多架构反汇编（x86/x64、ARM32、AArch64、MIPS 包括 16e 变体、PowerPC）
• 使用 Ghidra 原生反编译器库生成 Pcode
• 函数检测已对照 Ghidra 12.1.3 headless 进行审计：在 x86-64、ARM、AArch64、MIPS 和 PPC 上的所有小型测试样本中实现 100% 指令级语义一致性（0 个助记符 / 0 个操作数不匹配）；在一个大型 x86-64 二进制上实现 2856 个共享函数 / 116k+ 语义匹配
• C 反编译，并配有逐函数一致性测试框架（函数集、命名、成功率、签名、被调用者集合和文本相似度指标，对照 Ghidra 12.1.3；所有测试样本上零 halt_baddata）
• 类型恢复，支持 Windows API 签名（1400+ 原型）、glibc/Linux 原型以及 noreturn 表（Linux/Mac/Windows）
• 符号、引用、函数、类型和内存模型
• 包含 142 个已注册分析器的分析流水线
• 使用 FlatBuffers + LMDB 的项目持久化，支持类似 git 的提交和分支

GUI

• 交互式反汇编（包括数据段横幅 + 十六进制/ASCII 转储）
• 十六进制查看器和补丁
• 反编译器（包括字符串字面量解析、等价名称、高级注释）
• 内联控制流可视化
• 函数图窗口（可缩放的基本块流程图）+ 调用图
• 交叉引用探索
• 符号和函数导航
• 反汇编、反编译器和十六进制之间的跨视图同步
• 函数和符号重命名

核心流水线稳定（78/78 CTest 套件通过），当前工作重点是扩展功能覆盖范围、改进引擎/GUI 集成，并弥补在 Ghidra 12.1.3 一致性测试期间发现的剩余能力差距。

---

架构

Binary (PE / ELF / Mach-O / COFF)
        │
        ▼
Binary Loader
        │
        ▼
Capstone + SLEIGH Disassembly
        │
        ▼
Pcode / Decompiler Engine
        │
        ▼
Analysis Pipeline
        │
        ├── Function Detection
        ├── Type Recovery
        ├── Symbols
        ├── References
        └── Other Analyses
        │
        ▼
Program Model
        │
        ├── Functions
        ├── Symbols
        ├── Types
        ├── Memory
        └── References
        │
        ▼
Storage
        │
        ├── FlatBuffers snapshots
        ├── LMDB index
        └── Git-like commits / branches
        │
        ▼
Qt GUI
        │
        ├── Disassembly
        ├── Decompiler
        ├── Hex View
        ├── CFG / Call Graph
        └── Explorers

原始实现与 Ghidra 组件对比

组件	来源
反编译器引擎	Ghidra 原生 C++ 反编译器库
Sleigh 处理器规范	Ghidra
程序模型	原生 Enigma C++ 实现
类型与内存系统	原生 Enigma C++ 实现
分析流水线	原生 Enigma C++ 实现
函数检测	原生 Enigma 实现
二进制加载器	原生 Enigma 实现（PE/ELF/Mach-O/COFF）
存储	原生 Enigma 实现
GUI	原生 Qt6 实现

Enigma 在需要底层分析技术的地方使用 Ghidra 组件，而外围的引擎架构则以 C++ 原生实现。

---

构建

依赖要求

• C++17 或更高版本
• CMake 3.16+
• Ninja（后端）或 MSYS Makefiles（GUI），通过 MSYS2 使用 MinGW64 g++
• Capstone
• LMDB
• SQLite3
• FlatBuffers + flatc
• zlib
• Python3（CLI 回归测试）
• Qt 6（Widgets、Core、Gui — 仅 GUI；Qt-Advanced-Docking-System 通过 CMake FetchContent 自动获取）

构建

git clone https://github.com/adam-040/Enigma.git
cd Enigma/Enigma-Engine

cmake -B build -G Ninja -DCMAKE_BUILD_TYPE=Release
cmake --build build
ctest --test-dir build --output-on-failure

项目状态

Enigma 不再只是一个原型分析核心。原生流水线、存储层、分析系统和 GUI 均已投入运行（78/78 个 CTest 测试套件全部通过）。

当前开发重点是扩展引擎能力，并将后端已存在的功能接入 GUI，同时弥合在 Ghidra 12.1.3 反汇编器/反编译器一致性审计中发现的剩余差距（参见 PLAN/）。

---

许可证

本项目采用 Apache License 2.0 许可。

Enigma 使用的第三方组件仍受其各自许可证的约束。