BinSight

---

大多数文件都是黑箱：你下载的 .exe、固件转储、驱动程序、游戏、ECU 校准文件、应用更新。BinSight 会打开这个黑箱——在你自己的机器上进行静态分析，从不运行文件——并用通俗易懂的语言回答三个关键问题，同时提供证据佐证。

You: What is this file? Is it hiding anything? And what changed vs the old version?

BinSight: PE/Windows x64, compiled with MSVC, UPX-packed (entropy 7.9),
          imports consistent with network + process injection, Authenticode
          signature present, and vs the previous build 3 regions changed —
          here are the offsets. All static, all offline, with evidence.

三个问题

🔎 它是什么？

triage_file 和 inspect_executable 会读取 ELF、PE/Windows 和 Mach-O 文件（以及原始数据块），并告知你文件类型、架构、入口点、导入/导出、节区、哈希值以及编译器/加壳器特征——无需启动 Ghidra 或 IDA，支持 macOS、Windows 和 Linux。

🕵️ 它隐藏了什么？

detect_binary_toolchain、measure_binary_entropy、classify_import_capabilities、 identify_crypto_constants、extract_binary_strings、inspect_code_signature 和 scan_embedded_content 会揭示加壳、高熵区域、导入的能力（网络、进程、加密……）、IOC 字符串、嵌入文件，以及签名是否真实——报告的是证据和推断，而非定论。

🔁 发生了哪些变化？

compare_binaries 会逐字节比较任意两个文件，并解释变化内容——哪些区域发生了移动、哪些值被清零或设为最大值，以及变化前后的值。适用于应用更新、驱动程序、固件和 ECU 校准转储等。 compare_executables 还会提供可执行文件在导入/导出、节区和加固方面的差异。

全部 17 个工具

工具	能回答的问题
triage_file	一次调用：类型、哈希、结构、熵、加壳情况、能力、签名、字符串、后续步骤
generate_triage_report	可分享的 Markdown 分析报告
compare_binaries	对比任意两个文件，并说明变更内容（固件、ECU 转储、更新）
compare_executables	对比两个可执行文件：导入、导出、节、加固、熵
inspect_executable	节、导入、导出、库、符号、入口点、覆盖数据——适用于 ELF/PE/Mach-O
inspect_binary_hardening	适用于所有操作系统的 checksec：PIE、canary、NX、RELRO、CFG、ASLR、加固运行时
measure_binary_entropy	文件 / 节 / 数据块的 Shannon 熵 + 卡方检验
detect_binary_toolchain	编译器、加壳器、安装程序、语言（UPX、MSVC、PyInstaller、Go……）
extract_binary_strings	将 ASCII/UTF-16 字符串分类为 IOC（URL、IP、路径、注册表……）
identify_crypto_constants	AES S 盒、SHA/MD5、CRC32、ChaCha、曲线参数……
classify_import_capabilities	根据导入推断能力（“与……一致”，绝不作出定论）
scan_byte_patterns	搜索字节 / 十六进制通配符 / 文本 / 正则表达式，无需提供方
compute_similarity_hashes	imphash、Rich hash、symhash、telfhash、ssdeep、TLSH
inspect_code_signature	Authenticode + Mach-O 代码签名——可在任何主机上运行
scan_embedded_content	以 binwalk 风格识别嵌入文件（仅偏移量）
generate_sbom	根据嵌入的元数据生成 CycloneDX / SPDX 组件清单
recover_go_symbols	从剥离符号的 Go pclntab 中恢复函数名称

每项结果都会区分观察结果、推断和未知项，提供文件偏移量，并说明其局限性。仅检测——不会解包、解密、破解或执行任何内容。

快速开始

npx binsight triage-file /path/to/file --json
npx binsight compare-binaries /path/to/old /path/to/new --json
npx binsight generate-triage-report /path/to/file --json

将 BinSight 注册为 AI Agent 的 MCP 服务，然后用自然语言提问即可（“这是什么文件？它隐藏了什么？发生了哪些变化？”）：

npx binsight setup

BinSight 支持与 REA 相同的 Agent——请参阅支持的 Agent；其他客户端可以使用手动注册 MCP。

已与参考工具完成验证

BinSight 的解析器和哈希经过与分析人员信赖的工具对照验证：imphash 与 pefile 逐字节匹配，结构与 LIEF / readelf / otool 匹配，加固和加壳检测结果则与 checksec 和 Detect It Easy 在真实 ELF、PE 和 Mach-O 二进制文件语料库上的结果匹配。

文档

• 静态情报工具套件：17 个工具及其 CLI 和 MCP 示例。
• 工具目录：自动生成的工具、提供方和 CLI 命令清单。
• 安装与设置：提供方、Agent 和手动注册。

基于 REA 构建

BinSight 基于 REA 构建，并添加了上述静态智能套件。REA 采用 MIT 许可证；本项目保留该许可证和署名。这不是 REA 的官方发布版本——有关 REA 本身，请访问 morluto/rea。

许可证

MIT。请参阅 LICENSE。部分内容 © REA 作者。