@dsh-fly/dsh-plugin-fly-mode 0.1.10 → 0.1.11

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dsh-fly/dsh-plugin-fly-mode",
-  "version": "0.1.10",
+  "version": "0.1.11",
   "description": "Fly 模式作为一个可安装的包：**两个 preset** —— Fly 安全模式（preset-fly，8 个安全工具内联 + smart）与 Fly 标准模式（preset-fly-standard，上游 standard 的行表 + smart，无安全工具）；依赖单独发布的 dsh-plugin-fly-smart。",
   "type": "module",
   "license": "MIT",

package/tools/dsh-plugin-fly-reverse/index.js

@@ -96,6 +96,126 @@ function requireOk(run, what) {
  * match `/\bret\b/` — so a textbook `pop rdi; ret` came back as "no gadgets
  * found" (asserted in scripts/verify-security-tools.mjs).
  */
+// ── Ghidra headless（2026-10-16 实测：本机可用，但有三个坑）──────────────────────
+//
+// 坑一（用户踩过）：`/usr/libexec/java_home` 默认指向
+// `/Library/Internet Plug-Ins/JavaAppletPlugin.plugin/Contents/Home` —— 那是 **x86_64 的
+// Java 8**，arm64 上直接 `Bad CPU type in executable`。必须显式指 Homebrew 的 arm64 JDK：
+//   `JAVA_HOME=/opt/homebrew/opt/openjdk@26`（实测 26.0.1；openjdk@11 备选）。
+// 坑二（本次实测）：analyzeHeadless 的**项目目录必须已存在**（否则
+// `ERROR Abort due to Headless analyzer error: Directory not found: …`）—— 它不替你建。
+// 坑三（本次实测）：`os/mac_arm_64/decompile does not exist` ⇒ **反编译的原生件没编译**，
+// 这条能力要先跑 `support/buildNatives`（要 C++ 工具链）才有；在此之前只有 import/分析/函数表。
+
+/** arm64 macOS 上唯一实测可用的 JDK（doctor 会把这条写进结果）。 */
+const GHIDRA_JAVA_HOME = '/opt/homebrew/opt/openjdk@26'
+
+/** `-postScript` 里那个脚本：把函数表打成 `FLYFN ` 前缀的 JSON 行（脚本在 scratch 里现写）。 */
+function flyFunctionsScript() {
+  return [
+    '// Generated by fly-reverse (rev_ghidra) — prints one `FLYFN <json>` line per function.',
+    'import ghidra.app.script.GhidraScript;',
+    'import ghidra.program.model.listing.*;',
+    'import java.io.*;',
+    'public class FlyFunctions extends GhidraScript {',
+    '  @Override public void run() throws Exception {',
+    '    int limit = 200;',
+    '    if (getScriptArgs().length > 0) limit = Integer.parseInt(getScriptArgs()[0]);',
+    '    PrintWriter out = new PrintWriter(System.out);',
+    '    FunctionIterator it = currentProgram.getFunctionManager().getFunctions(true);',
+    '    int n = 0;',
+    '    while (it.hasNext() && n < limit) {',
+    '      Function fn = it.next();',
+    '      char q = 34;',
+    '      String json = "{" + q + "name" + q + ":" + q + fn.getName().replace(String.valueOf(q), "") + q',
+    '        + "," + q + "entry" + q + ":" + q + "0x" + Long.toHexString(fn.getEntryPoint().getOffset()) + q',
+    '        + "," + q + "size" + q + ":" + fn.getBody().getNumAddresses()',
+    '        + "," + q + "thunk" + q + ":" + fn.isThunk()',
+    '        + "," + q + "external" + q + ":" + fn.isExternal() + "}";',
+    '      out.println("FLYFN " + json);',
+    '      n += 1;',
+    '    }',
+    '    out.println("FLYFN-END " + n);',
+    '    out.flush();',
+    '  }',
+    '}',
+  ].join('\n')
+}
+
+/** 经接缝写一份文件（base64 中转 ⇒ 不引号化内容、也**不靠 stdin**：runCmd 没有 stdin，cat 会挂死）。 */
+async function writeViaBase64(shell, exec, path, content) {
+  const encoded = Buffer.from(content, 'utf8').toString('base64')
+  return runCmd(shell, ['sh', '-c', 'printf %s ' + shq(encoded) + ' | base64 -d > ' + shq(path)], exec, { timeoutMs: 15_000 })
+}
+
+/** 找 analyzeHeadless：显式 GHIDRA_HOME 优先，否则候选目录（找不到就空串）。 */
+/** 反编译用的 postScript（要 `os/<平台>/decompile` 原生件；没有就由 ghidraFix 给修法）。 */
+function flyDecompileScript() {
+  return [
+    '// Generated by fly-reverse (rev_ghidra decompile) — prints `FLYFN-NAME` + pseudocode blocks.',
+    'import ghidra.app.script.GhidraScript;',
+    'import ghidra.app.decompiler.*;',
+    'import ghidra.program.model.listing.*;',
+    'import java.io.*;',
+    'public class FlyDecompile extends GhidraScript {',
+    '  @Override public void run() throws Exception {',
+    '    String want = getScriptArgs().length > 0 ? getScriptArgs()[0] : "";',
+    '    DecompInterface ifc = new DecompInterface();',
+    '    ifc.openProgram(currentProgram);',
+    '    FunctionIterator it = currentProgram.getFunctionManager().getFunctions(true);',
+    '    PrintWriter out = new PrintWriter(System.out);',
+    '    int n = 0;',
+    '    while (it.hasNext() && n < 20) {',
+    '      Function fn = it.next();',
+    '      if (!want.isEmpty() && !fn.getName().equals(want) && !want.equals(fn.getEntryPoint().toString())) continue;',
+    '      DecompileResults res = ifc.decompileFunction(fn, 60, monitor);',
+    '      out.println("FLYFN-NAME " + fn.getName());',
+    '      out.println("FLYCODE-START");',
+    '      out.println(res.decompileCompleted() ? res.getDecompiledFunction().getC() : "/* decompile failed for this function */");',
+    '      out.println("FLYCODE-END");',
+    '      n += 1;',
+    '    }',
+    '    out.flush();',
+    '    ifc.dispose();',
+    '  }',
+    '}',
+  ].join('\n')
+}
+
+
+function ghidraHeadless(shell, exec) {
+  return runCmd(shell, ['sh', '-c', 'if [ -n "$GHIDRA_HOME" ]; then echo "$GHIDRA_HOME/support/analyzeHeadless"; else ls -d "$HOME"/tools/ghidra_*/support/analyzeHeadless 2>/dev/null | sort | tail -1; fi'], exec, { timeoutMs: 10_000 })
+}
+
+/** JDK 探针直接跑 javaHome 下的 java —— **别**写 `JAVA_HOME=x "$JAVA_HOME/bin/java"`：
+ *  POSIX 里同一命令的变量展开发生在赋值生效**之前**，`$JAVA_HOME` 会取到旧值（= 那个 x86_64
+ *  Java 8）⇒ doctor 会把"能用"报成"不能用"（两处口径不一致，测试当场抓到）。 */
+/** 两类"跑不了"都要给**可复制的修法**（不是"工具缺失"四个字）。 */
+function ghidraFix(text) {
+  if (/Bad CPU type|Unable to prompt user for JDK path/u.test(text)) {
+    return [
+      'Ghidra 起不来：/usr/libexec/java_home 默认指向 /Library/Internet Plug-Ins/JavaAppletPlugin.plugin',
+      '（那是 **x86_64 的 Java 8**，arm64 上直接 Bad CPU type in executable）。',
+      '修法（arm64 macOS，实测可用）：',
+      '  export JAVA_HOME=/opt/homebrew/opt/openjdk@26',
+      '  ~/tools/ghidra_12.1.4_PUBLIC/support/analyzeHeadless …',
+    ].join('\n')
+  }
+  if (/decompile does not exist|Building Native Components/u.test(text)) {
+    return [
+      'Ghidra 的反编译原生件还没编译（os/mac_arm_64/decompile 不存在）——',
+      '这只影响**反编译**，import / 分析 / 函数表照旧能用。',
+      '修法（要 C++ 工具链，一次性）：',
+      '  cd ~/tools/ghidra_12.1.4_PUBLIC/support/gradle/ && gradle buildNatives   # 或自带 wrapper（需联网）：./gradlew buildNatives',
+      '  # 编完在 <模块>/build/os/<平台>/ 下，**要装进** <模块>/os/<平台>/（release 布局里 Ghidra 找的是后者）：',
+      '  cp Ghidra/Features/Decompiler/build/os/mac_*/decompile Ghidra/Features/Decompiler/os/mac_*/',
+    ].join('\n')
+  }
+  return ''
+}
+
+
+
 function scanGadgets(disasm, filter) {
   const instruction = /^\s*([0-9a-f]+):\s+(?:[0-9a-f]{2} )+\s*([a-z][a-z0-9.]*)\s*(.*)$/u
   const wanted = filter === undefined ? null : filter.toLowerCase().split(/\s+/u).filter(Boolean)
@@ -289,4 +409,155 @@ export function apply(ctx) {
       }, null, 2)
     },
   }))
+  // ── rev_ghidra（Ghidra headless：doctor / functions）───────────────
+  ctx.tools.register(defineTool({
+    name: 'rev_ghidra',
+    description: 'Run Ghidra headless (analyzeHeadless) on a binary. doctor = probe the local install (JAVA_HOME trap, native decompiler); functions = import + analyse and list functions as JSON lines. arm64 macOS needs JAVA_HOME=/opt/homebrew/opt/openjdk@26.',
+    parameters: {
+      action: { type: 'string', required: true, description: 'doctor | functions' },
+      binary: { type: 'string', description: 'binary to analyse (required for functions)' },
+      limit: { type: 'number', description: 'max functions to list (default 200, clamped 1..2000)' },
+    },
+    output: {
+      schema: { type: 'string' },
+      render: (_a, v) => [{ type: 'text', text: v }],
+    },
+    async execute(args, exec) {
+      const action = String(args.action ?? '').trim()
+      if (action !== 'doctor' && action !== 'functions' && action !== 'decompile') {
+        const error = new Error('rev_ghidra 的 action 只认 doctor / functions / decompile（收到 ' + JSON.stringify(args.action) + '）')
+        error.name = 'ArgumentError'
+        throw error
+      }
+      const found = await ghidraHeadless(shell, exec)
+      const headless = found.stdout.trim().split('\n').filter(Boolean).at(-1) ?? ''
+      if (headless === '') {
+        const error = new Error([
+          'rev_ghidra：找不到 analyzeHeadless —— 这台机器上 Ghidra 要么没装，要么没装在 ~/tools/ghidra_*/ 下。',
+          '两条路：设 GHIDRA_HOME=<你的 Ghidra 目录>（我只找 $GHIDRA_HOME/support/analyzeHeadless 与 ~/tools/ghidra_*/support/analyzeHeadless），',
+          '或者装一个：https://ghidra-sre.org/ （下载 zip 解压即可，不需要安装器）。',
+        ].join('\n'))
+        error.name = 'ToolError'
+        throw error
+      }
+      const javaHome = typeof process.env.GHIDRA_JAVA_HOME === 'string' && process.env.GHIDRA_JAVA_HOME.trim() !== ''
+        ? process.env.GHIDRA_JAVA_HOME.trim()
+        : GHIDRA_JAVA_HOME
+      const work = (process.env.TMPDIR || '/tmp').replace(/\/$/u, '') + '/fly-reverse-ghidra'
+      // 注意：`analyzeHeadless` 是**文件**，`<文件>/../…` 在 POSIX 里解析不了（ENOTDIR）——
+    // 第一版探针就是这么把"装好了"读成"不在"的（手跑同一条命令复现）。要先 `$(dirname …)`。
+    // 平台目录名是 `mac_arm_64`（**有下划线**）：拿 `uname -m` 的 `arm64` 直接拼 `mac_${P}` 会得到
+    // `mac_arm64` ⇒ test -e 恒假，而 ls 明明看得见那个文件 —— 两个读数矛盾就是尺子拼错了。
+    const nativeProbe = headless === '' ? null : await runCmd(shell, ['sh', '-c', 'P=$(uname -m | sed s/arm64/arm_64/); D=$(dirname "' + headless + '"); test -e "$D/../Ghidra/Features/Decompiler/os/mac_${P}/decompile" || test -e "$D/../../os/mac_${P}/decompile"'], exec, { timeoutMs: 10_000 })
+      const javaRun = await runCmd(shell, ['sh', '-c', shq(javaHome + '/bin/java') + ' -version'], exec, { timeoutMs: 15_000 })
+      if (action === 'doctor') {
+        const probes = []
+        probes.push({ what: 'analyzeHeadless', ok: headless !== '', detail: headless === '' ? '不在 ~/tools/ghidra_*/support/ 下（装了的话设 GHIDRA_HOME）' : headless })
+        probes.push({ what: 'arm64 JDK', ok: javaRun.exitCode === 0, detail: javaRun.stdout.trim().split('\n')[0] ?? javaRun.stderr.trim().split('\n')[0] })
+        probes.push({ what: '反编译原生件 os/mac_arm_64/decompile', ok: nativeProbe !== null && nativeProbe.exitCode === 0, detail: nativeProbe !== null && nativeProbe.exitCode === 0 ? '在' : '不在 —— 反编译不可用，函数表照旧（修法见 limitations）' })
+        return JSON.stringify({
+          tool: 'rev_ghidra',
+          target: headless === '' ? '(未找到 analyzeHeadless)' : headless,
+          operation: '三个探针：analyzeHeadless 在不在 / arm64 JDK 能不能跑 / 反编译原生件在不在',
+          observed: { probes, usable: { functions: headless !== '' && javaRun.exitCode === 0, decompile: nativeProbe !== null && nativeProbe.exitCode === 0 } },
+          confidence: 'observed',
+          limitations: [
+            'arm64 macOS 上**必须**显式设 JAVA_HOME=/opt/homebrew/opt/openjdk@26：'
+              + '/usr/libexec/java_home 默认指向 JavaAppletPlugin（x86_64 Java 8），arm64 直接 Bad CPU type',
+            'analyzeHeadless 的**项目目录必须已存在**（它不替你建）—— 实测出来的形状',
+            '反编译原生件缺失 ≠ "这个包没有反编译"：那是装机器的事，修法在下一条',
+            '修法（反编译，官方 GettingStarted.md §Building Native Components）：cd ~/tools/ghidra_12.1.4_PUBLIC/support/gradle/ && gradle buildNatives   # 或自带 wrapper（需联网）：./gradlew buildNatives',
+          ],
+        }, null, 2)
+      }
+      if (action === 'decompile') {
+        if (typeof args.binary !== 'string' || args.binary.trim() === '') {
+          const error = new Error('rev_ghidra decompile 需要 binary 参数（要反编译哪个文件）')
+          error.name = 'ArgumentError'
+          throw error
+        }
+        const decBinary = safePath(args.binary.trim())
+        const want = typeof args.function === 'string' && args.function.trim() !== '' ? args.function.trim() : ''
+        await runCmd(shell, ['mkdir', '-p', work], exec, { timeoutMs: 10_000 })
+        await writeViaBase64(shell, exec, work + '/FlyDecompile.java', flyDecompileScript())
+        const run = await runCmd(shell, ['sh', '-c', [
+          'JAVA_HOME=' + javaHome + ' ' + shq(headless) + ' ' + shq(work) + ' flyproj',
+          '-import ' + shq(decBinary) + ' -deleteProject',
+          '-scriptPath ' + shq(work) + ' -postScript FlyDecompile ' + shq(want),
+        ].join(' ')], exec, { timeoutMs: 240_000, stdoutMaxBytes: 8 * 1024 * 1024 })
+        const text = (run.stdout ?? '') + (run.stderr ?? '')
+        if (run.exitCode !== 0) {
+          const fix = ghidraFix(text)
+          throw new Error('rev_ghidra decompile 跑失败（exit ' + run.exitCode + '）：'
+            + text.trim().split('\n').filter(Boolean).slice(0, 3).join(' | ')
+            + (fix === '' ? '' : '\n\n' + fix))
+        }
+        const out = run.stdout
+        if (!/FLYCODE-END/u.test(out)) {
+          throw new Error('rev_ghidra decompile：一行伪代码都没产出（退出码却是 0）—— 脚本多半没编译过或原生反编译器没装，'
+            + 'Ghidra 对两种情况都可能只打日志不报错；跑 rev_ghidra doctor 看反编译原生件在不在。')
+        }
+        const blocks = []
+        const pattern = /FLYFN-NAME (\S+)\r?\nFLYCODE-START\r?\n([\s\S]*?)\r?\nFLYCODE-END/gu
+        for (const match of out.matchAll(pattern)) blocks.push({ name: match[1], code: match[2] })
+        return JSON.stringify({
+          tool: 'rev_ghidra',
+          target: decBinary + (want === '' ? '' : ' · ' + want),
+          operation: 'analyzeHeadless import + 分析 → FlyDecompile postScript（DecompInterface）',
+          observed: { functions: blocks.length, blocks: blocks.slice(0, 20) },
+          confidence: 'observed',
+          limitations: [
+            '这是 Ghidra 反编译器的**伪代码**（C 风格）：不是源码、不是汇编，变量名多是 Ghidra 起的（FUN_xxx 等）',
+            '每个函数最多等 60 秒反编译（DecompInterface 的超时）；超时的会标注 decompile failed',
+            '需要 os/<平台>/decompile 原生件 —— 没装时 Ghidra 只在日志里说，这里把它抬成大声报错 + 修法',
+            '同一函数的伪代码会随 Ghidra 版本/分析深度变化，别当稳定接口用',
+          ],
+        }, null, 2)
+      }
+      if (typeof args.binary !== 'string' || args.binary.trim() === '') {
+        const error = new Error('rev_ghidra functions 需要 binary 参数（要分析哪个文件）')
+        error.name = 'ArgumentError'
+        throw error
+      }
+      const binary = safePath(args.binary.trim())
+      const limit = Math.min(2000, Math.max(1, Math.round(Number(args.limit ?? 200) || 200)))
+      await runCmd(shell, ['mkdir', '-p', work], exec, { timeoutMs: 10_000 })
+      await writeViaBase64(shell, exec, work + '/FlyFunctions.java', flyFunctionsScript())
+      const run = await runCmd(shell, ['sh', '-c', [
+        'JAVA_HOME=' + javaHome + ' ' + shq(headless) + ' ' + shq(work) + ' flyproj',
+        '-import ' + shq(binary) + ' -deleteProject',
+        '-scriptPath ' + shq(work) + ' -postScript FlyFunctions ' + limit,
+      ].join(' ')], exec, { timeoutMs: 240_000, stdoutMaxBytes: 4 * 1024 * 1024 })
+      const text = (run.stdout ?? '') + (run.stderr ?? '')
+      if (run.exitCode !== 0) {
+        const fix = ghidraFix(text)
+        throw new Error('rev_ghidra functions 跑失败（exit ' + run.exitCode + '）：'
+          + text.trim().split('\n').filter(Boolean).slice(0, 3).join(' | ')
+          + (fix === '' ? '' : '\n\n' + fix))
+      }
+      const rows = run.stdout.split('\n').filter(line => line.startsWith('FLYFN {')).map(line => JSON.parse(line.slice(6)))
+      const total = Number(/FLYFN-END (\d+)/u.exec(run.stdout)?.[1] ?? rows.length)
+      if (!/FLYFN-END/u.test(run.stdout)) {
+        // Ghidra 对**编译不过**的 postScript 是 exit 0 + 一行都不打（实测）—— 这里必须大声，
+        // 不许把"脚本没跑"读成"这个二进制没有函数"。
+        throw new Error('rev_ghidra functions：FlyFunctions 一行都没产出（退出码却是 0）—— 脚本多半没编译过。'
+          + 'Ghidra 对编译失败的 postScript 是静默跳过的；请看命令日志里的 javac/脚本错误，'
+          + '或照审计里的命令原样跑一遍看它说什么。')
+      }
+      return JSON.stringify({
+        tool: 'rev_ghidra',
+        target: binary,
+        operation: 'analyzeHeadless import + 分析 → FlyFunctions postScript（最多 ' + limit + ' 条）',
+        observed: { count: rows.length, listed: rows.length, total, functions: rows.slice(0, limit) },
+        confidence: 'observed',
+        limitations: [
+          '这是 Ghidra 的**函数表**（按地址顺序、最多 limit 条）：不是全部符号，也不是反编译输出',
+          'thunk / external 两个标志原样给出（Ghidra 的判断），没有再做二次解释',
+          '整个二进制**会被完整分析一遍**（headless 的语义），大文件会慢 —— 请给 limit 或等',
+          '项目目录与脚本写在 scratch（TMPDIR/fly-reverse-ghidra/）里，-deleteProject 用完即删，不碰仓库',
+          '反编译（函数体的伪代码）还没接：原生件缺失时 Ghidra 自己会报，修法见 rev_ghidra doctor',
+        ],
+      }, null, 2)
+    },
+  }))
 }