NSA开源逆向工具Ghidra入门使用教程
背景
昨天，在刚刚举办的RSA大会上，NSA发布了一款功能强大、免费的开源逆向分析工具：Ghidra。该反汇编工具类似于我们常用的IDA，不过其基于JAVA开发，是一款适用于Windows、Mac和Linux的跨平台反汇编工具，用户还可以使用Java或Python开发自己的Ghidra插件或者脚本。2017年维基解密在Vault 7中首次曝光了Ghidra，该信息来自于中央情报局（CIA）的内部文件，Ghidra在过去数年里一直被用于NSA相关的网络安全任务当中。
360威胁情报中心第一时间对该工具进行了详细分析，梳理了相关说明文档、具体的安装使用方法，以及该软件的相关趣闻解读，带你详细了解这款强大而神秘的安全工具。
Ghidra下载地址
可以通过Ghidra的项目主页或者GitHub进行下载：
https://Ghidra-sre.org
https://github.com/NationalSecurityAgency/Ghidra
整理的一些官方说明
360威胁情报中心对Ghidra的官方说明文档进行了梳理，将一些必要的安装注意事项、文件目录介绍、使用方法、相关插件的使用等等逐一进行介绍，方便读者对照安装使用。
支持平台
Windows 7/Windows 10（64位）
Linux（64位，最好是CentOS 7）
MacOS（10.8.3）
安装条件
硬件条件:4GB内存;1GB硬盘空间
软件条件:Java 11+
安装方法
通过解压缩工具解压下载的压缩包（7-zip，WinZIP，WinRAR）即可使用。
安装注意事项
- Ghidra直接通过压缩包解压即可使用，这样的好处就是可以不用修改各种系统配置，如Windows下的注册表，便于删除，坏处是不能直接在桌面上或开始菜单设置快捷方式。
- 特定盘符，如C:/需要Administrator权限。
- Ghidra会使用系统标准的TEMP目录来存储相关数据，用户也可以通过修改support/launch.properties来进行修改。
Java环境注意事项
- Ghidra会通过path自动定位相关的java runtime和development kit版本
- 设置Windows下相关JDK path配置
- 解压JDK
- 打开系统环境变量设置选项
- 在path中增加
/bin
- Linux下下相关JDK path配置
1.解压JDK
2.编辑~/.bahsrc
Vi ~/.bashrc
3.export PATH=
4.保存
当然用户可能有使用特定版本java的需求，可以通过support/launch.properties中的JAVA_HOME_OVERRIDE来进行配置。不过如果该版本不符合Ghidra的需求，Ghidra是不会运行的。
运行Ghidra
GUI 模式
切换到GhidraInstallDir目录，运行GhidraRun.bat（Windows）或GhidraRun（linus 或macOS），即可在GUI模式下启动Ghidra：
启动界面如下：
Ghidra Server
Ghidra支持多人协作完成一个逆向项目，各种研究人员在自己设备上进行相关的逆向任务，并将其修改提交到公共的存储库中，相关配置在Ghidra Server中有详尽的说明。
命令行模式
有别于传统的GUI模式，使用者可以通过命令行模式进行批量化的反编译工作。
独立的JAR包模式
Ghidra允许将其中的部分文件打包为JAR包并单独运行，以便于更方便的通过命令行模式进行启动，也方便于作为单独的Java逆向工程库。使用者可以通过
扩展
拓展是Ghidra的可选组件，可以执行以下操作：
- 用于编写拓展Ghidra相关的功能
- 将其它的工具和Ghidra集成，如eclipse或IDA
其默认附加了以下的拓展项，可在
- Eclipse：用于在eclipse中安装GhidraDev eclipse插件
- Ghidra：Ghidra扩展
- IDAPro：和IDA互动的插件
插件注意
- 可以通过前端的GUI进行安装卸载l 文件->安装拓展l 选择需要安装/卸载的拓展程序l 重启生效
- 需要对GhidraInstallDir具备写入权限
- 也可以不使用GUI前端目录，直接将扩展解压到
/ Ghidra / Extensions即可
开发相关插件
用户可以通过自定义的Ghidra脚本、插件、分析器来扩展其功能，Ghidra通过提供一个名为GhidraDev的自定义Eclipse插件来支持Eclipse中的开发，该插件可以在
具体使用过程
项目创建
通过自带BAT脚本启动GUI模式：
进入之后，会有一个Tip提示，如下所示：
Ghidra是按项目进行管理的，使用者需要首先创建一个项目：
输入项目名：
项目创建完毕之后生成一个具体的目录，注意项目文件删除的时候似乎不能直接通过GUI删除，需要手动删除：
创建好项目之后就可以导入需要反编译的文件了：
如下所示我们反编译测试了calc.exe计算器程序：
开始反编译，速度相比于IDA还是慢了不少：
完成之后，项目文件下会创建对应的项目，双击进入：
进入之后会提示是否进行分析：
点击确认后，可以控制相应的分析选项：
开始分析之后，右下角会有相关的进度条展示：
目前来看Ghidra是无法自动下载符号的，需要对PDB相关配置进行设置：
完成分析之后的整体界面如下所示，很有一股浓浓的JAVA风范：
由于是基于项目的，因此Ghidra中可以同时打开多个反编译的项目，只需要直接往项目中导入文件即可：
主要功能介绍
360威胁情报中心整理了一些Ghidra反汇编界面中常见且有用的一些功能选项，并进行相关介绍：
- Navigation 菜单
该菜单下是一些主要操作选项：
- Window 菜单
该菜单下是其主要支持的功能窗口，类似于IDA中view->opensubview
其中的Python功能提供了类似IDAPython的功能，可以通过help（）或直接按F1查看对应的功能说明：
- 脚本管理菜单
脚本管理菜单下有大量的JAVA扩展脚本，这也是目前为止笔者觉得能带来惊喜的一个地方：
这些脚本选中后是可以直接运行的，如下所示的是字符串搜索功能：
- 反编译项目对比功能
由于是以项目为单位的，因此支持对同一个项目中的反编译项目进行对比：
具体选项如下：
不过目前看来其效果一般：
常用快捷键
Ghidra也支持快捷键功能，360威胁情报中心整理了一些Ghidra中常见且有用的快捷键进行介绍：
-
双击
和IDA一致，直接双击可以进入之后的地址函数：
- 搜索（Ctrl+SHIFT+E ）
该快捷键用于进行搜索，类似于IDA中的alt+t
效果如下，速度对比IDA还是要慢上不少：
- 书签（Ctrl+D ）
该快捷键启用书签功能：
- 反编译 （Ctrl+E ）
相当于IDA中的F5，展示反编译后的代码：
- 右键查看引用
类似于IDA中的Ctrl+X：
更多操作
更多详细的快捷键和操作可见解压后docs文件夹中的CheatSheet.html文件：
一些趣闻：关于JDWP远程代码执行
在Ghidra发布后不久，HackerFantastic就在Twitter发布了Ghidra存在JDEWP的远程代码执行问题：
JDWP是指开放了一个调试端口，可以远程访问：
笔者默认的环境下可以看到这个JAVA的调试端口并没有启动：
笔者在对应的support下看到了对应的launch.sh脚本，这个脚本确实会开启一个对应的端口，但需要通过debug和debug-supend参数启动：
实际上我们使用的GhidraRun也是通过launch.bat进行启动的：
只是GhidraRun使用的是bg参数，并不会激活对应的调试模式：
因此从目前来看正常的GUI启动时不会激活该功能，但是由于launch本身是主要的启动入口，在没有详细深入分析前，不排除有其他方式通过debug和debug-supend参数进行调用，因此建议手动patch代码。
总结
目前来看Ghidra具有反编译功能，查看、定位反编译后的代码相较于IDA有优势。不过在使用过程中发现其处理某些混淆后代码的能力还比较欠缺，在一些界面功能上也还有较大的差距，此外基于JAVA开发的原因也使得其在性能上有一些欠缺。
参考链接
https://Ghidra-sre.org/CheatSheet.html
https://Ghidra-sre.org/InstallationGuide.html
https://github.com/NationalSecurityAgency/Ghidra
声明：本文来自360威胁情报中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如需转载，请联系原作者获取授权。
正文到此结束
- 本文标签： 编译 https 调试 时间 总结 文章 id zip git UI 需求 开发 python MQ 远程访问 ip 配置 代码 参数 删除 IO java eclipse 安装 GitHub 软件 http Twitter 目录 db 安全 管理 插件 src Security linux 端口 apr NSA HTML文件 build Java环境 windows centos IDE HTML 详细分析 免费 测试 数据 空间 开源 下载 bug
- 版权声明： 本文为互联网转载文章，出处已在文章中说明(部分除外)。如果侵权，请联系本站长删除，谢谢。
- 本文海报： 生成海报一 生成海报二
热门推荐
相关文章
近期评论
-
666
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
