Repolode
提交项目
mandiant

mandiant/xrefer

一款 IDA Pro 插件，从入口点梳理执行路径、聚类相关函数，并借助 Gemini 辅助描述二进制行为。

在 GitHub 查看
Star
325
Fork
44
未关闭 Issue
12
最近提交
13天前

这是什么？

XRefer 是一款基于 Python 的 IDA Pro 插件，为逆向分析提供自定义的导航界面。它从入口点出发跟踪执行路径，将二进制文件划分为相关函数的聚类，并突出显示下游行为和关键产物，帮助分析人员更快理清程序结构。

插件可以导入外部数据，包括 VMRay 和 CAPE 沙箱的 API 追踪文件、capa 分析结果以及用户自定义的间接交叉引用，并生成路径图以提供更多上下文。函数聚类还可以附加标签。分析入口、排除规则和各项配置均可通过 IDA 的 Edit 菜单完成。

LLM 功能为可选项。启用后，XRefer 可调用 Google Gemini 或其他已配置的模型接口，生成代码关系的自然语言描述。这些功能会把 API、字符串和函数关系等部分数据发送至外部服务，处理敏感样本时可以关闭。

核心功能

  • 01从入口点跟踪执行路径，梳理二进制程序的行为。
  • 02对相关函数进行聚类并添加标签，便于快速导航。
  • 03导入 VMRay、CAPE 的 API 追踪、capa 结果及用户自定义的交叉引用。
  • 04提供路径图，补充分析上下文。
  • 05可选择通过 Gemini 或其他 LLM 接口生成自然语言描述。

适用场景

  • 在 IDA Pro 中快速分拣陌生的恶意软件样本。
  • 通过自定义入口点分析 DLL 或库文件。
  • 将沙箱 API 追踪和 capa 结果与静态代码路径关联起来。

快速上手

  1. 1

    使用 hcli 安装插件及其依赖

    hcli install xrefer
  2. 2

    重启 IDA，在 Edit -> XRefer 中找到 XRefer

使用前须知

  • 需要商业反汇编工具 IDA Pro 才能运行。
  • 由于 asciinet 依赖需要 Java，必须确保 java 在系统 PATH 中可用。
  • 启用 LLM 功能时，API、字符串和函数关系等分析数据会发送到 Google Gemini 等外部服务，除非将其禁用。

收录于专题

逆向工程工具

标签

#reverse-engineering#ida-pro#binary-analysis#malware-analysis#idapython#threat-intelligence#gsoc-2026#idaplugin

常见问题

xrefer 是什么？
一款 IDA Pro 插件，从入口点梳理执行路径、聚类相关函数，并借助 Gemini 辅助描述二进制行为。 XRefer 是一款基于 Python 的 IDA Pro 插件，为逆向分析提供自定义的导航界面。它从入口点出发跟踪执行路径，将二进制文件划分为相关函数的聚类，并突出显示下游行为和关键产物，帮助分析人员更快理清程序结构。
xrefer 可以免费使用吗？用的什么许可证？
xrefer 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。
xrefer 还在维护吗？
活跃维护中。xrefer 最近一次提交是在 2026年10月26日。
xrefer 适合用来做什么？
在 IDA Pro 中快速分拣陌生的恶意软件样本。 通过自定义入口点分析 DLL 或库文件。 将沙箱 API 追踪和 capa 结果与静态代码路径关联起来。
xrefer 怎么安装和运行？
使用 hcli 安装插件及其依赖: hcli install xrefer 重启 IDA，在 Edit -> XRefer 中找到 XRefer
在哪里获取 xrefer？
源代码和安装说明在 GitHub 上：https://github.com/mandiant/xrefer

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目