mcpField
H
headless-ghidra-discovery

headless-ghidra-discovery

github.com/bytelandtechnology安全584 次安装25 周前更新
代码仓库

关于 headless-ghidra-discovery

headless-ghidra-discovery 是用于 P3 阶段的 Ghidra 函数元数据丰富技能，面向逆向分析流程。它结合第三方证据与运行时调用链，并要求通过 ghidra-agent-cli 串行应用更改。

主要功能

  1. 01结合第三方证据与运行时调用链
  2. 02生成函数重命名和签名元数据
  3. 03校验元数据及热路径
  4. 04通过 CLI 串行应用并验证更改
  5. 05记录可复现的分析依据

适用场景

  1. 01为热路径调用链恢复函数名称和签名
  2. 02将元数据更改应用到 Ghidra 项目
  3. 03验证 P3 阶段的门禁条件

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/bytelandtechnology/headless-ghidra --skill headless-ghidra-discovery

安装后在 Claude Code 中输入/headless-ghidra-discovery确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

README.ja-JP.md
README.md
README.zh-CN.md

详细介绍

无界面 Ghidra 元数据增强 — P3

P3 根据第三方证据和 P1 运行时热点调用链来增强函数元数据。分析工作可以并行进行，但所有对 Ghidra 项目的写入都必须通过串行执行的 ghidra-agent-cli ghidra ... 命令完成。

必需的 ghidra-agent-cli 命令

  • ghidra-agent-cli workspace state show
  • ghidra-agent-cli functions list
  • ghidra-agent-cli callgraph callers
  • ghidra-agent-cli callgraph callees
  • ghidra-agent-cli metadata enrich-function
  • ghidra-agent-cli metadata validate
  • ghidra-agent-cli hotpath validate
  • ghidra-agent-cli ghidra apply-renames
  • ghidra-agent-cli ghidra verify-renames
  • ghidra-agent-cli ghidra apply-signatures
  • ghidra-agent-cli ghidra verify-signatures
  • ghidra-agent-cli gate check --phase P3

输入

  • artifacts/<target-id>/pipeline-state.yaml
  • artifacts/<target-id>/runtime/hotpaths/call-chain.yaml
  • artifacts/<target-id>/third-party/identified.yaml
  • artifacts/<target-id>/baseline/functions.yaml
  • artifacts/<target-id>/baseline/callgraph.yaml
  • artifacts/<target-id>/baseline/types.yaml

输出

  • artifacts/<target-id>/metadata/renames.yaml
  • artifacts/<target-id>/metadata/signatures.yaml
  • artifacts/<target-id>/metadata/types.yaml
  • artifacts/<target-id>/metadata/constants.yaml
  • artifacts/<target-id>/metadata/strings.yaml
  • artifacts/<target-id>/metadata/apply-records/

退出要求

  • 在 P4 开始前，runtime/hotpaths/call-chain.yaml 中的每个函数都必须有明确恢复出的名称和签名。
  • 元数据增强 YAML 只能通过 CLI 锁定期间执行的 CLI 命令应用到 Ghidra 项目。
  • 增强过程必须能够根据记录的基线、运行时和第三方证据复现。

约束

  • 此阶段不得进行反编译。
  • 不得改写历史的逐函数输出。
  • 对于受支持的状态、基线、调用图、元数据、Ghidra 应用或门禁操作，不得绕过 ghidra-agent-cli。
  • 如果 CLI 缺少某项功能，不得创建或运行新的 Ghidra 脚本；请暂停并先询问用户。

下一步

  • P3 门禁通过 → headless-ghidra-batch-decompile

评论

支持 Markdown