Engenharia reversa com Binary Ninja

Use o Binary Ninja quando o usuário o selecionar explicitamente, quando suas ILs (Intermediate Languages) ajudarem significativamente na análise de fluxo de dados, ou quando os resultados do IDA/Ghidra/radare2 precisarem de uma verificação cruzada independente.

Comece com segurança

1. Confirme se o escopo do repositório está pronto antes de agir sobre um alvo.
2. Verifique skills/tool-index.md para binaryninja; Binary Ninja é um software comercial e deve ser instalado manualmente com uma licença válida da Vector 35.
3. Trabalhe em uma cópia ao aplicar patches ou salvar alterações no banco de dados.
4. Registre imports/exports, pontos de entrada, arquitetura e hash do arquivo antes de promover descobertas.

Escolha a integração

• GUI ou API Python: preferível quando o Binary Ninja já estiver aberto ou o usuário desejar análise interativa direta.
• Ponte Community MCP: use apenas quando explicitamente solicitado e após revisar o limite do plugin de terceiros. Mantenha o listener HTTP do Binary Ninja em 127.0.0.1:9009; não ative a exposição de rede por padrão.
• Fallback: use ghidra-reverse, ida-reverse, ou radare2 quando o Binary Ninja não estiver disponível ou sua licença/API não puder abrir o alvo.

A integração comunitária revisada é fosdickio/binary_ninja_mcp, GPL-3.0, versão de metadados do plugin 1.1.0, build mínimo do Binary Ninja 4000. O repositório não é um componente oficial da Vector 35. Esta habilidade foi verificada contra o commit 8c5134ee46e2bf44f9a4d846bd971c3e39b3e306 em 2026-09-03.

Instale o lado do Binary Ninja através do seu Gerenciador de Plugins ou da fonte revisada. Para a ponte stdio do MCP, fixe a versão publicada da ponte em vez de usar um pacote ilimitado:

npx -y binary-ninja-mcp@1.0.0 --host 127.0.0.1 --port 9009

Registre esse comando apenas no cliente MCP que o usuário selecionou. A ponte não estará pronta até que o Binary Ninja esteja em execução, um binário esteja aberto e o endpoint do plugin localhost responda.

Fluxo de trabalho de análise

1. Enumere os binários abertos e selecione a visualização desejada.
2. Capture o status do binário, pontos de entrada, segmentos, imports, exports e strings representativas.
3. Siga os sites de chamadas e referências cruzadas antes de interpretar uma função isoladamente.
4. Use HLIL para lógica legível, MLIL SSA para fluxo de dados e LLIL/desmontagem quando a elevação perder o comportamento em nível de instrução.
5. Aplique nomes, comentários e tipos incrementalmente; mantenha os endereços originais em evidência.
6. Trate patches de bytes, alterações de protótipo e escritas de arquivos salvos como mutações. Execute-os apenas quando solicitado e preserve o artefato original.
7. Verifique cruzadamente conclusões de alto impacto com uma segunda fonte de evidência ou outro desassemblador.

Famílias de capacidades úteis do MCP incluem seleção de binário/visualização, list_imports, list_exports, list_strings, decompile_function, get_il, chamadores/chamados, referências cruzadas, tipos, comentários, renomeações e patching de bytes. Descubra a lista de ferramentas ativas em vez de assumir que todas as funções upstream estão presentes.

Saída

Relate endereços concretos, nomes de funções, nível de IL, strings/imports de suporte, confiança e passos de reprodução. Mantenha a cadeia Evidência → Descoberta → Caminho usada pelo restante do repositório.