什么是Kong？

大多数任务都遵循线性关系：任务越难，通常所需时间越长。然而，逆向工程（以及二进制分析）却是一个看似难度不大，但执行时间却可能长达数小时甚至数天的任务，即便对于只有几百个函数的二进制文件也是如此。

Kong通过使用NSA级别的逆向工程框架，自动化处理其中的机械性工作。它能够接收完全混淆且已剥离符号信息的二进制文件，并运行完整的分析流程：对函数进行分类与筛选、构建调用图上下文、借助LLM引导的反编译恢复类型和符号信息，最后将结果写回Ghidra的程序数据库中。最终输出的二进制文件中，原本的FUN_00401a30将被重命名为parse_http_header，同时恢复了结构体、参数名称和调用约定等信息。

为何需要这样的工具？

剥离符号信息后的二进制文件会丢失所有使代码可读的上下文信息：函数名、类型信息、变量名、结构体布局等。在大多数逆向工程任务中，恢复这些上下文信息占据了绝大部分工作量，而这一过程本质上主要是模式匹配——识别标准库函数、根据使用情况推断类型、并通过调用图传播名称。

大型语言模型恰好擅长这类模式匹配任务。然而，如果直接将原始反编译结果输入LLM并询问“这段代码的作用是什么？”，得到的结果往往并不理想。这是因为模型缺乏调用上下文、交叉引用信息以及关于二进制整体结构的全局视角。此外，许多经过混淆处理的二进制文件还会采用极端的技术手段来阻碍逆向工程。

Kong通过在接触LLM之前，先利用Ghidra的程序分析功能（如调用图、交叉引用、字符串引用、数据流等）构建丰富的上下文窗口，并按照依赖顺序编排分析流程，使得每个函数都能在其被调用者已被命名的情况下进行分析。除此之外，Kong还引入了其首创的智能代理式去混淆流水线。

实际应用

功能特性

• 全自主分析流水线：只需一条命令即可完成整个分析流程。包括函数分类、功能分析、清理优化、语义合成及导出，全程无需人工干预。
• 进程内Ghidra集成：通过PyGhidra和JPype在进程中运行Ghidra的分析引擎，无需服务器、RPC或子进程开销，可直接访问程序数据库。
• 调用图驱动的分析顺序：按照调用图自底向上逐层分析函数。首先为叶子函数命名，以便调用者在反编译时能够受益于已解析的上下文。
• 丰富的上下文窗口：每次发送给LLM的提示信息不仅包含目标函数的反编译结果，还整合了交叉引用、字符串引用、调用者/被调用者签名以及邻近数据等内容，而非孤立的原始反编译输出。
• 语义合成：在分析完成后，统一整个二进制中的命名规范，根据字段访问模式合成结构体定义，并解决独立分析函数之间存在的不一致性问题。
• 签名匹配：在LLM分析之前，先通过模式匹配识别已知的标准库函数和加密函数，从而跳过对已知函数的身份推断，节省计算资源。
• 语法规范化：在反编译结果进入LLM之前，对其进行清理（如恢复模运算、修复负字面量、移除无效赋值等操作），以减少噪声和不必要的Token消耗。
• 智能代理式去混淆：Kong采用智能代理式的去混淆流水线，能够从反编译结果中识别并移除各种混淆技术（如控制流平坦化、虚假控制流、指令替换、字符串加密、虚拟机保护等）。
• 评估框架：内置评估工具，可根据真实源代码对分析结果进行打分，衡量符号准确率（基于词级Jaccard指数）和类型准确率（基于签名组件评分）。
• 多模型支持：开箱即用，兼容Anthropic（Claude）和OpenAI（GPT-4o）。交互式设置向导可配置不同提供商，并根据是否有有效密钥自动选择最优模型。
• 成本追踪：跨不同提供商跟踪各模型的Token使用量及费用，并提供针对不同提供商的价格信息。

支持的架构

目前，Kong适用于大多数可由Ghidra反编译的二进制文件（未来还将支持更多架构）。

分析信心等级

	C	C++	Go	Rust
x86	高	高	中	中
x86-64	高	高	中	中
ARM（32位）	高	高	中	低
AArch64	高	高	中	低
MIPS	中	中	低	低
PowerPC	中	中	低	低

高：Kong能够可靠地完成反编译、去混淆，并成功恢复函数名、类型和程序结构。 中：反编译结果可用，但噪声较大，预计只能部分恢复，置信度较低。 低：反编译结果存在显著缺失，分析结果将保持不完整、噪声过多或难以阅读。 注：二进制文件的大小与函数数量、LLM成本及完成时间呈正相关，但同时也与分析置信度呈负相关。因此，在分析大型二进制文件时，请务必考虑这一点。

架构

Kong 使用由监督器协调的五阶段流水线，负责分诊、并行分析和后处理：

                    ┌──────────────────────┐
                    │       Triage         │
                    │  枚举、分类、      │
                    │  构建调用图、      │
                    │  匹配签名          │
                    └──────────┬───────────┘
                               │
                               ▼
              ┌────────────────┼────────────────┐
              │                │                │
              ▼                ▼                ▼
     ┌──────────────┐ ┌──────────────┐ ┌──────────────┐
     │   Analyze    │ │   Analyze    │ │     ...      │
     │  (leaf fns)  │ │ (next tier)  │ │              │
     └──────┬───────┘ └──────┬───────┘ └──────┬───────┘
            │                │                │
            └────────┬───────┴────────────────┘
                     │
                     ▼
            ┌──────────────────────┐
            │      Cleanup         │
            │  规范化、去重      │
            └──────────┬───────────┘
                       │
                       ▼
            ┌──────────────────────┐
            │     Synthesis        │
            │  统一命名、构建    │
            │  结构体、去混淆    │
            └──────────┬───────────┘
                       │
                       ▼
            ┌──────────────────────┐
            │       Export         │
            │  analysis.json +     │
            │  Ghidra 写回       │
            └──────────────────────┘

工作原理

Triage 阶段会枚举二进制文件中的所有函数，按大小将其分类为琐碎/小型/中型/大型，构建调用图，检测源语言，并对已知的标准库和加密函数进行签名匹配。通过签名匹配的函数会被标记为已解析，从而完全跳过 LLM 分析。

Analysis 阶段使用工作队列，按照调用图的自底向上顺序处理函数。对于每个函数，Kong 会从 Ghidra 的程序数据库中构建上下文窗口——包括反编译结果、交叉引用、字符串引用以及已分析被调用函数的签名等信息——并对反编译输出进行规范化处理，然后将其发送给 LLM 进行名称、类型和参数的恢复。如果在某个函数的反编译结果中检测到混淆，Kong 会在生成分析结果之前，利用符号工具执行一次代理式的去混淆操作。分析结果会立即写回到 Ghidra 中，以便下游调用者能够看到更新后的名称。

Cleanup 阶段会统一在分析过程中积累的结构体类型建议，并重新尝试那些在分析阶段未能应用的函数签名。

Synthesis 阶段会对所有已分析的函数进行全局审视。它会通过一次 LLM 调用来审查连接最紧密的函数，统一命名规范，根据字段访问模式合成结构体定义，并优化在更广泛背景下显得不一致的名称。

Export 阶段会生成最终的 analysis.json 文件，并将所有恢复的名称、类型和签名写回到 Ghidra 程序数据库中。

技术栈

• 运行时: Python 3.11+，使用 uv 进行管理
• 二进制分析: Ghidra 通过 PyGhidra 实现（进程内，JPype）
• LLM: Anthropic SDK（Claude）和 OpenAI SDK（GPT-4o）
• 符号分析: z3-solver
• CLI: Click
• TUI: Textual
• 显示: Rich
• 构建: hatchling
• 测试: pytest

设置

先决条件

• Python 3.11+ — (python.org 或系统包管理器)
• uv — Python 包管理器（安装 uv）
• Ghidra — 美国国家安全局的逆向工程框架（安装 Ghidra）
• JDK 21+ — Ghidra 所需（Adoptium）
• LLM API 密钥 — 至少选择以下之一：
  • Anthropic（Claude）
  • OpenAI（GPT-4o）

快速入门

# 1. 安装 Kong
uv pip install kong-re

# 2. 设置你的 API 密钥
export ANTHROPIC_API_KEY="sk-ant-..."
# 和/或
export OPENAI_API_KEY="sk-..."

# 3. 运行设置向导（仅首次使用）
kong setup

# 4. 分析一个二进制文件
kong analyze ./path/to/stripped_binary

设置向导允许你选择要使用的 LLM 提供商，并设置默认选项。Kong 会自动检测你的 Ghidra 和 JDK 安装情况，将二进制文件加载到进程内的 Ghidra 实例中，并运行完整的流水线。

从源码安装

git clone https://github.com/amruth-sn/kong.git
cd kong
uv sync
uv run kong setup
uv run kong analyze ./path/to/stripped_binary

环境变量

变量	是否必需	描述
ANTHROPIC_API_KEY	至少一个	Anthropic API 密钥（Claude）
OPENAI_API_KEY	至少一个	OpenAI API 密钥（GPT-4o）
GHIDRA_INSTALL_DIR	否	Ghidra 安装路径（未设置时自动检测）
JAVA_HOME	否	JDK 路径（未设置时自动检测）
KONG_CONFIG_DIR	否	配置目录覆盖（默认：~/.config/kong）

使用方法

# 运行设置向导
kong setup

# 分析一个剥离的二进制文件（使用你配置的默认提供商）
kong analyze ./binary

# 使用特定提供商进行分析
kong analyze ./binary --provider openai

# 覆盖模型
kong analyze ./binary --provider openai --model gpt-4o-mini

# 显示二进制元数据而不运行分析
kong info ./binary

# 将分析结果与原始源代码对比
kong eval ./analysis.json ./source.c

输出

结果会写入输出目录（默认：./kong_output_{binary_name}/）：

kong_output_{binary_name}/
├── analysis.json         # 所有恢复的函数名称、类型和参数
└── events.log            # 流水线执行轨迹

基准测试

Kong 自主地从一个剥离的 liblzma.so.5.4.1 中重建了完整的 XZ 后门（CVE-2024-3094）攻击链——在 15 分钟内以 90%-95% 的置信度识别出了全部五个核心植入函数，耗资 6.63 美元。

完整案例研究及复现说明，请参阅 BENCHMARKS.md。

项目结构

kong/
├── __main__.py           # CLI 入口点（click）
├── config.py             # KongConfig、LLMProvider、LLMConfig
├── db.py                 # SQLite 配置存储（~/.config/kong/）
├── banner.py             # ASCII 封面图、API 密钥辅助工具
├── agent/
│   ├── supervisor.py     # 管道编排器
│   ├── triage.py         # 函数枚举 + 分类
│   ├── analyzer.py       # LLM 引导的函数分析
│   ├── queue.py          # 基于调用图的 BFS 工作队列
│   ├── signatures.py     # 已知函数签名匹配
│   ├── prompts.py        # 系统提示词 + 输出模式
│   ├── events.py         # 管道跟踪的阶段/事件类型
│   └── models.py         # FunctionResult 数据类
├── ghidra/
│   ├── client.py         # 进程内 GhidraClient（PyGhidra/JPype）
│   ├── types.py          # FunctionInfo、BinaryInfo、XRef 等
│   └── environment.py    # Ghidra/JDK 自动检测
├── llm/
│   ├── client.py         # AnthropicClient
│   ├── openai_client.py  # OpenAIClient
│   ├── usage.py          # TokenUsage、费用跟踪、定价注册表
│   └── limits.py         # 模型特定限制 + 速率限制器
├── normalizer/
│   └── syntactic.py      # 反编译输出规范化
├── synthesis/
│   └── semantic.py       # 全局名称统一 + 结构体合成
├── evals/
│   ├── harness.py        # 真值提取 + 打分
│   └── metrics.py        # symbol_accuracy、type_accuracy
├── export/
│   └── source.py         # analysis.json + 写回 Ghidra
├── signatures/
│   ├── stdlib.json       # C 标准库函数签名
│   └── crypto.json       # 加密函数签名
└── tui/
    └── app.py            # Textual TUI

许可证

APACHE

Kong 采用 Apache 许可证 2.0 版本授权。Kong 是一个免费且开源的项目。

该许可证与 Ghidra 许可证兼容，并允许商业使用。

贡献

欢迎通过 GitHub Issues 提交问题和功能请求。

此外，也欢迎在 X 或 LinkedIn 上与我联系！

致谢

• Ghidra
• PyGhidra
• JPype
• Anthropic SDK
• OpenAI SDK
• Z3
• Textual
• Rich

特别感谢 KeygraphHQ 的 Shannon 项目，它为本项目提供了灵感。我的开发动机是复现 Shannon 在其基于 Web 的渗透测试工具中使用的相同流程，并将其适配用于二进制分析和反编译。

---

敬畏这只猴子。

---

Kong：全球首个 AI 反向工程师

Kong：AI 驱动的二进制逆向工程快速上手指南

Kong 是全球首款基于 LLM 编排的自动化逆向工程工具。它能够对去符号化（stripped）或混淆的二进制文件进行全自动分析，自动恢复函数名、类型信息、结构体定义及参数名称，并将结果直接写回 Ghidra 数据库。

环境准备

在开始之前，请确保您的系统满足以下要求：

系统要求

• 操作系统: Linux, macOS 或 Windows (需配置相应环境变量)
• Python: 3.11 或更高版本
• JDK: 21 或更高版本 (Ghidra 运行必需)

前置依赖

1. uv: 高性能 Python 包管理器

   • 安装命令 (官方): curl -LsSf https://astral.sh/uv/install.sh | sh
   • 国内加速: 若下载缓慢，可尝试使用国内镜像源或手动下载安装包。

2. Ghidra: NSA 开源的逆向工程框架

   • 下载地址: Ghidra 官网
   • 注意: 请确保已正确安装并配置 GHIDRA_INSTALL_DIR 环境变量（通常可自动检测）。

3. LLM API Key: 至少需要以下其中之一

   • Anthropic (推荐 Claude 系列): 获取 Key
   • OpenAI (推荐 GPT-4o): 获取 Key

安装步骤

推荐使用 uv 进行安装，以确保依赖环境的隔离与一致性。

1. 安装 Kong

uv pip install kong-re

2. 配置 API 密钥

在终端中导出您的 LLM API 密钥（根据您选择的提供商二选一或同时设置）：

# 配置 Anthropic (Claude)
export ANTHROPIC_API_KEY="sk-ant-..."

# 和/或 配置 OpenAI (GPT-4o)
export OPENAI_API_KEY="sk-..."

3. 初始化配置

首次使用前，运行设置向导以自动检测本地 Ghidra/JDK 环境并选择默认 LLM 提供商：

kong setup

基本使用

完成上述步骤后，即可对二进制文件进行分析。

最简单的分析命令

对去符号化的二进制文件执行全自动分析：

kong analyze ./path/to/stripped_binary

执行过程说明：

• Kong 将自动加载二进制文件到内置的 Ghidra 实例中。
• 执行分层分析：从叶子函数向上遍历调用图，结合上下文进行去混淆和语义合成。
• 分析完成后，恢复的函数名、类型和结构体将自动写回 Ghidra 程序数据库。
• 详细分析报告将保存在当前目录下的 kong_output_{binary_name}/ 文件夹中（包含 analysis.json）。

进阶用法示例

指定 LLM 提供商：

kong analyze ./binary --provider openai

指定具体模型（如为了降低成本）：

kong analyze ./binary --provider openai --model gpt-4o-mini

仅查看二进制元数据（不执行分析）：

kong info ./binary

评估分析结果（需有原始源码作为基准）：

kong eval ./analysis.json ./source.c

提示: 对于大型二进制文件，分析时间和 Token 消耗会随函数数量增加而增长。建议先在小样本或关键模块上测试效果。