---

## 它是什么

IDA Pro的自动分析是单线程的。对于一个34 MB的il2cpp DLL，这需要*几分钟*。spectrIDA将二进制文件分割成N个分片，通过idalib并行运行，合并成一个`.i64`文件，然后让一个微调的8B模型**为每个函数命名**——所有这些都来自一个终端用户界面，具有赛博朋克主题和恰到好处的讽刺感。

这就是第1章，它独立存在：纯粹的速度，如果你不想要，就不需要AI。

第2章将输出转化为超越会话生命周期的东西——一个Neo4j图，MCP客户端（Claude、[pi](https://pi.dev)或任何支持MCP的工具）可以真正在其中工作，而不是你一次一个函数地将反编译输出复制粘贴到聊天窗口中：```
Binary  ─▶  Parallel IDA Analysis  ─▶  Demangle  ─▶  AI Naming  ─▶  Neo4j Graph  ─▶  MCP Server  ─▶  Claude
              (N idalib shards)       (free, real)   (stripped     (persists,        (search/chain/
                                                       leftovers     forever,          rename, live)
                                                       only)         across sessions)

要求：**IDA Pro 9.x** 配合 idalib · **Python 3.10+** · **Ollama**```bash
# install Ollama (Windows)
winget install Ollama.Ollama

# pull the model (8.7 GB — go get coffee)
ollama pull hf.co/gdfhhjk/spectrida-re-gguf:latest

# first run — detects your IDA install and sets everything up
spectrida onboard

# or just try the demo right now
spectrida --demo

## TUI 快捷键

| 快捷键 | 操作 |
|--------|------|
| `N` | 函数命名选取 — AI 实时流式输出结果 |
| `R` | 重命名 — 预填充 AI 建议的名称 |
| `D` | 切换反编译伪代码（Hex-Rays） |
| `C` | 调用链 — 调用者与被调用者 |
| `B` | 批量命名当前列表中的所有 `sub_*` 函数 |
| `O` | 概览 — AI 对整个二进制文件的摘要 |
| `/` | 模糊搜索 |
| `?` | 帮助 |
| `Q` | 退出 |

---

## 编程 API

无需 TUI — 可从脚本、Claude Code、Jupyter 笔记本等任意方式驱动 spectrIDA：```python
import asyncio
from spectrida.api import open_i64

async def main():
    async with open_i64("GameAssembly.i64") as db:

        # list all 153k functions
        funcs = await db.list_functions()

        # name one function — returns name + reasoning + confidence
        result = await db.name_function(0x10001000)
        print(result["new_name"])     # init_atexit_handler
        print(result["reasoning"])    # allocates array of 3 fn ptrs, calls _atexit...

        # batch name everything (with live progress)
        async def on_progress(done, total, r):
            print(f"  {done}/{total}  {r['old_name']} -> {r['new_name']}")

        await db.batch_name(limit=500, rename=True, progress_cb=on_progress)

        # ask what the binary does
        overview = await db.overview()
        print(overview)

        # export to IDA script
        await db.export("names.idc", fmt="idc", named_only=True)

asyncio.run(main())

Env var overrides: `SPECTRIDA_IDALIB` · `SPECTRIDA_MODEL` · `SPECTRIDA_WORKERS` · `SPECTRIDA_OLLAMA_URL`

---

## 添加新的二进制格式

格式支持是一个插件系统，而非一堆 if/elif 分支——PE、NSO 和 ELF 都只是 `spectrida/analysis/formats/` 下的文件，会自动发现。运行 `spectrida formats` 即可查看当前已注册的格式。```bash
$ spectrida formats
ELF        spectrida.analysis.formats.elf.ELFHandler
NSO        spectrida.analysis.formats.nso.NSOHandler
PE         spectrida.analysis.formats.pe.PEHandler
generic    spectrida.analysis.formats.generic.GenericHandler

@staticmethod
def sniff(header: bytes, path: str) -> bool:
    return header[:4] == b"MYF0"          # however you recognize the format

def prepare(self, path: str, workdir: str) -> PreparedImage:
    # Format idalib already loads natively (ELF, PE, Mach-O)? Just parse
    # the section/segment table — return the original path unchanged.
    return PreparedImage(
        binary_path=path,
        image_base=0,
        sections=[Section(name=".text", va=0x1000, raw_off=0x400,
                           raw_size=0x2000, vsize=0x2000, is_code=True)],
        arch=None,        # set "x86_64"/"arm64" only if IDA can't detect it itself
    )

# Only needed if idalib has NO native loader for this format (NSO is the
# example): do any manual idaapi/ida_segment setup here, called right
# after idapro.open_database() succeeds, before analysis starts.
# def post_open(self) -> None: ...

| 方法 | 必需？ | 功能 |
|---|---|---|
| `sniff(header, path)` | 是 | 魔数/扩展名检查 — 此处理程序是否拥有该文件？ |
| `prepare(path, workdir)` | 是 | 返回一个 `PreparedImage`：idalib 应打开的文件及其段表 |
| `post_open()` | 否（默认无操作） | 手动段设置，适用于没有原生 IDA 加载器的格式（参见 `nso.py`） |
| `make_shard_binary(image, dst, va_start, va_end)` | 否（默认有效） | 仅在将分片外的段字节清零不适合您的格式时覆盖（参见 `nso.py` — 切勿对压缩文件清零） |
| `code_range(image)` | 否（默认有效） | 仅在 `is_code` 段的“最小值/最大值”不是正确答案时覆盖 |
| `read_bytes(image, va_start, va_end)` | 否（默认有效） | 如果 `prepare()` 已将相关字节保存在内存中（NSO）而不是磁盘上，则覆盖 |
| `global_entry_points(image, text_start, text_end)` | 否（默认：None） | 仅在按分片局部扫描会遗漏真正入口点时覆盖 — NSO 需要此方法，因为 AArch64 叶函数只能通过二进制中其他地方看到的 BL 目标发现，而不是局部序言扫描 |

查看 `formats/pe.py` 获取最简单的处理程序（纯头部解析，无覆盖）和
`formats/nso.py` 获取完整案例（封装解压缩 + 手动段设置 + 所有覆盖）。

第三方包也可以注册处理程序，而无需修改 spectrIDA 的源代码，通过
`spectrida.formats` 入口点组：```toml
# in a separate package's pyproject.toml
[project.entry-points."spectrida.formats"]
myformat = "spectrida_myformat_plugin:HANDLER"

就是这样。它会自动将服务器注册到 Claude Code 和 pi（如果裸 `pip install spectrida` 跳过了它们，它就会拉取 `mcp` + `neo4j`），写入它们的配置，并告诉你需要重启哪个部分。

**一旦 Neo4j 运行起来（`spectrida` 配置的 `[graph]` 部分，或者直接指向一个本地实例），Claude 实际得到的是：**

- `search_functions` / `get_function` / `get_callees` / `get_callers` / `trace_chain` — 快速、缓存的图读取。`get_function` 返回伪代码 **以及** 反汇编（精确的指令边界和操作数 —— 伪代码层无法提供这些，而当你从“这段代码做什么”转向“我到底该在哪里修补它”时，这些信息至关重要）以及内联的调用者/被调用者，这样 Claude 就可以通过查看响应中某个被调用者是否仍然是 `sub_*` 来决定是否要进一步链式深入 —— 无需额外往返来确认没有什么可看的了。
- `get_full_pseudocode` / `rename_function` — 当缓存的片段不够用或最终确定名称时，直接对 `.i64` 进行实时、权威的读写。
- `analyze_binary` — 给它一个从未见过的二进制文件（PE 或 NSO，无论是哪种，都会并行分片），它会运行整个管道 —— 分析 → 去混淆（Itanium *和* MSVC）→ AI 命名真正被剥离的剩余部分 → 全部推入图 —— 作为一个你可以轮询的后台任务，这样一次耗时数分钟的运行就不会阻塞对话。
- `doctor` / `start_all` — 在不离开聊天的情况下检查或启动 llama-server + Neo4j。如果系统中根本未安装 llama-server，`start_all` 会首先通过 winget（Windows）或 brew（macOS）获取它 —— 无需单独下载/设置 llama.cpp。

这不是魔法——一个因为没人看过而仍然叫 `sub_140001234` 的函数仍然是 `sub_140001234`。但图会永久记住模型 *已经* 搞清楚的一切，跨会话持久化，Claude 可以像一位已经阅读过代码库的同事一样浏览它，而不是一次盯着一个函数看。

**仍在开发中：**

- **深度上下文命名** — 向下跟踪 N 层调用树，将完整链提供给模型。一个距离 `encrypt_block` 三层调用的函数应该知道它处于加密路径中。
- **反混淆** — TigressVM 模式检测和处理器跟踪
- **实际修补** — 现在反汇编已经在图中，因此代理 *可以* 规划字节级补丁；将“这是要更改的确切指令”变成“这是要写入的内容”是下一步。

---

## 第 3 章 —— 幽灵穿墙而过

第 1 章和第 2 章读取二进制文件并记住它。但是读取一个函数只告诉你它 *是什么*，绝不会告诉你当你扣动扳机时它 *做什么*。第 3 章 —— [**phantomrt**](https://pypi.org/project/phantomrt/) —— 扣动扳机。```bash
pip install "spectrida[atlas]"

**并且，本着上面NSO恐怖故事的精神：** 第一次真正的漏洞搜索诚实地找到了
*什么都没有* —— 而原因比一次崩溃更有意思。针对一个真正古老且真正脆弱的FreeType，盲模糊（blind fuzzing）一无所获。基于覆盖率引导的模糊测试随后报告了辉煌的 **64,000条边** 被覆盖 —— 这是一个谎言，因为二进制文件是PIE，而ASLR每次运行都在悄悄地重新随机化地址，所以“新覆盖”大部分只是加载程序在洗牌。禁用ASLR后，诚实的数字降到了 *真正的* 727条边，并且在那里趋于平稳 —— 因为每个种子都是TrueType字体，所以模糊器被困在了一个解析器内，无法通过结构变异进入实际存在漏洞的CFF/Type1/BDF代码。解决方法不是更智能的变异器，而是更好的种子：代理抓取了真实的OpenType/Type1/BDF样本，在单次模糊迭代之前，覆盖率就从727跳到了4,013，并且正确进行了探索。在预算内仍然没有崩溃 —— 这是在单个核心上运行3分钟的任务与通常需要数小时的任务之间的真实状态。机制是真实的。它捕捉到了自己的*虚假数字*而没有报告它。这才是重点。

**诚实的幽灵声明：** phantomrt 是 `0.1.0` 版本。Alpha 阶段。它是一个可靠的动态层，而不是一个魔法漏洞预言器 —— 它立即在玩具目标上找到了植入的漏洞，而在真实目标上，它诚实地告诉你它何时卡住了（`needs_state`），何时一个崩溃只是*候选*（去验证指针是否实际受输入控制），以及何时它只需要更多时间和更好的种子。Switch 二进制文件无法实时运行 —— Frida 需要一些可以启动的东西 —— 所以在这里，模拟是唯一的途径，并且它会大量输出 `needs_state`。这是诚实的，而不是坏的。

它是故意增加了重量级依赖（`torch`、`unicorn`、`frida`）—— 基础的 `pip install spectrida` 并不拉取这些。源代码位于 [`phantomrt/`](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/master/phantomrt)；它自己的幽灵风格 README 就在[那里](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/master/phantomrt/README.md)。

*静态幽灵命名了你的函数。这个则让它们招供。* 👻

---

## 许可证

MIT。你想怎么用就怎么用。如果它好用，那不错。
如果不好用，那怪 GGUF 量化吧。

用怨气、咖啡和一块 RTX 4070 构建而成。
该模型在零营销的情况下获得了 199 次下载。每次下载为开发速度增加 0.01%。
（这不是真的。但差不多。）👻