Ghidra权威指南

第一部分 简介
第1章 反汇编简介 1
1.1 反汇编理论 1
1.2 何为反汇编 2
1.3 为何反汇编 2
1.3.1 恶意软件分析 3
1.3.2 漏洞分析 3
1.3.3 软件互操作性 3
1.3.4 编译器验证 3
1.3.5 显示调试信息 4
1.4 如何反汇编 4
1.4.1 基础反汇编算法 4
1.4.2 线性扫描反汇编 5
1.4.3 递归下降反汇编 6
1.5 小结 9
第2章 逆向与反汇编工具 10
2.1 分类工具 10
2.1.1 file 10
2.1.2 PE Tools 12
2.1.3 PEiD 13
2.2 摘要工具 14
2.2.1 nm 14
2.2.2 ldd 16
2.2.3 objdump 17
2.2.4 otool 18
2.2.5 dumpbin 18
2.2.6 c filt 19
2.3 深度检测工具 20
2.3.1 strings 20
2.3.2 反汇编器 21
2.4 小结 23
第3章 初识Ghidra 24
3.1 Ghidra许可证 24
3.2 Ghidra版本 24
3.3 Ghidra支持资源 24
3.4 下载Ghidra 25
3.5 安装Ghidra 25
3.5.1 Ghidra的目录结构 26
3.5.2 启动Ghidra 27
3.6 小结 27
第二部分 Ghidra的基本用法
第4章 开始使用Ghidra 28
4.1 启动Ghidra 28
4.2 创建新项目 29
4.2.1 Ghidra文件加载 30
4.2.2 使用原始二进制加载器 32
4.3 使用Ghidra分析文件 33
4.4 初始分析期间的桌面行为 36
4.5 Ghidra桌面提示和技巧 37
4.6 小结 38
第5章 Ghidra数据显示 39
5.1 CodeBrowser 39
5.2 CodeBrowser窗口 41
5.2.1 清单窗口 42
5.2.2 创建额外的反汇编窗口 45
5.2.3 函数图形化视图 46
5.2.4 程序树窗口 49
5.2.5 符号树窗口 50
5.2.6 数据类型管理器窗口 53
5.2.7 控制台窗口 53
5.2.8 反编译器窗口 53
5.3 其他窗口 55
5.3.1 字节窗口 55
5.3.2 数据定义窗口 56
5.3.3 字符串定义窗口 58
5.3.4 符号表和符号引用窗口 58
5.3.5 内存映射窗口 60
5.3.6 函数调用图窗口 61
5.4 小结 62
第6章 理解Ghidra反汇编 63
6.1 反汇编导航 63
6.1.1 名称和标签 63
6.1.2 在Ghidra中导航 64
6.1.3 Go To对话框 65
6.1.4 导航历史 65
6.2 栈帧 66
6.2.1 函数调用机制 66
6.2.2 调用约定 68
6.2.3 栈帧的其他思考 71
6.2.4 局部变量布局 72
6.2.5 栈帧示例 72
6.3 Ghidra栈视图 75
6.3.1 Ghidra栈帧分析 75
6.3.2 清单视图中的栈帧 76
6.3.3 反编译辅助栈帧分析 78
6.3.4 局部变量作为操作数 79
6.3.5 Ghidra栈编辑器 80
6.4 搜索 82
6.4.1 搜索程序文本 82
6.4.2 搜索内存 83
6.5 小结 84
第7章 反汇编操作 85
7.1 操作名称和标签 85
7.1.1 重命名参数和局部变量 86
7.1.2 重命名标签 89
7.1.3 添加新标签 89
7.1.4 编辑标签 90
7.1.5 删除标签 91
7.1.6 导航标签 91
7.2 注释 91
7.2.1 行末注释 92
7.2.2 前注释与后注释 92
7.2.3 块注释 93
7.2.4 可重复注释 94
7.2.5 参数和局部变量注释 94
7.2.6 注解 95
7.3 基本的代码转换 95
7.3.1 更改代码显示选项 95
7.3.2 格式化指令操作数 96
7.3.3 操纵函数 98
7.3.4 数据与代码的转换 100
7.4 基本的数据转换 100
7.4.1 指定数据类型 101
7.4.2 处理字符串 102
7.4.3 定义数组 103
7.5 小结 104
第8章 数据类型和数据结构 105
8.1 理解数据 105
8.2 识别数据结构的使用 106
8.2.1 数组成员访问 107
8.2.2 结构体成员访问 114
8.3 用Ghidra创建结构体 120
8.3.1 创建结构体 120
8.3.2 编辑结构体成员 122
8.3.3 应用结构体布局 124
8.4 C 逆向入门 125
8.4.1 this指针 125
8.4.2 虚函数和虚表 126
8.4.3 对象生命周期 129
8.4.4 名称改编 130
8.4.5 运行时类型识别 131
8.4.6 继承关系 132
8.4.7 C 逆向参考资料 133
8.5 小结 133
第9章 交叉引用 134
9.1 引用基础 134
9.1.1 交叉引用（反向引用） 135
9.1.2 引用示例 137
9.2 引用管理窗口 141
9.2.1 XRefs窗口 142
9.2.2 References To窗口 142
9.2.3 符号引用窗口 143
9.2.4 高级引用操作 143
9.3 小结 144
第10章 图形 145
10.1 基本块 145
10.2 函数图 146
10.3 函数调用图 152
10.4 树 157
10.5 小结 157
第三部分 让Ghidra为您工作
第11章 协作逆向工程 158
11.1 团队协作 158
11.2 Ghidra Server设置 158
11.3 共享项目 161
11.3.1 创建共享项目 161
11.3.2 项目管理 162
11.4 项目窗口菜单 163
11.4.1 文件菜单 163
11.4.2 编辑菜单 165
11.4.3 项目菜单 166
11.5 项目仓库 169
11.5.1 版本控制 169
11.5.2 示例场景 171
11.6 小结 175
第12章 自定义Ghidra 176
12.1 CodeBrowser窗口 176
12.1.1 重新排列窗口 177
12.1.2 编辑工具选项 177
12.1.3 编辑工具 179
12.1.4 特殊工具编辑功能 180
12.1.5 保存CodeBrowser布局 181
12.2 Ghidra项目窗口 182
12.3 工具菜单 185
12.4 工作区 189
12.5 小结 189
第13章 Ghidra功能扩展 190
13.1 导入文件 190
13.2 分析器 192
13.3 词模型 193
13.4 数据类型 195
13.5 Function ID分析器 198
13.6 Function ID插件 199
13.6.1 插件示例：UPX 200
13.6.2 插件示例：分析静态库 204
13.7 小结 207
第14章 Ghidra脚本开发 208
14.1 脚本管理器 208
14.1.1 脚本管理器窗口 209
14.1.2 脚本管理器工具栏 210
14.2 脚本开发 210
14.2.1 编写Java脚本 210
14.2.2 编辑脚本示例：正则搜索 212
14.2.3 编写Python脚本 215
14.2.4 支持其他语言 217
14.3 Ghidra API简介 217
14.3.1 地址接口 218
14.3.2 符号接口 218
14.3.3 引用接口 218
14.3.4 GhidraScript类 218
14.3.5 Program类 224
14.3.6 函数接口 225
14.3.7 指令接口 225
14.4 Ghidra脚本开发示例 226
14.4.1 示例1：枚举函数 226
14.4.2 示例2：枚举指令 226
14.4.3 示例3：枚举交叉引用 227
14.4.4 示例4：寻找函数调用 228
14.4.5 示例5：模拟汇编语言行为 229
14.5 小结 231
第15章 Eclipse和GhidraDev 232
15.1 Eclipse 232
15.1.1 Eclipse集成 232
15.1.2 启动Eclipse 233
15.1.3 使用Eclipse编辑脚本 233
15.2 GhidraDev菜单 234
15.2.1 GhidraDev→New 234
15.2.2 浏览包资源管理器 238
15.3 示例：Ghidra分析器模块项目 243
15.3.1 步骤1：定义问题 243
15.3.2 步骤2：创建Eclipse模块 244
15.3.3 步骤3：构建分析器 244
15.3.4 步骤4：使用Eclipse测试
分析器 249
15.3.5 步骤5：添加分析器到Ghidra
安装中 250
15.3.6 步骤6：使用Ghidra测试
分析器 250
15.4 小结 252
第16章 Ghidra无头模式 253
16.1 入门 253
16.1.1 步骤1：启动Ghidra 254
16.1.2 步骤2和3：在指定位新建
Ghidra项目 254
16.1.3 步骤4：将文件导入项目 255
16.1.4 步骤5和6：自动分析文件、
保存并退出 255
16.1.5 选项和参数 257
16.2 编写脚本 263
16.2.1 HeadlessSimpleROP 263
16.2.2 自动创建FidDb 267
16.3 小结 268
第四部分 深入探索
第17章 Ghidra加载器 269
17.1 未知文件分析 270
17.2 手动加载 Windows PE 文件 271
17.3 示例一：简易Shellcode加载器 279
17.3.1 步骤0：准备工作 280
17.3.2 步骤1：定义问题 282
17.3.3 步骤2：创建Eclipse模块 282
17.3.4 步骤3：构建加载器 283
17.3.5 步骤4：添加加载器到
Ghidra中 287
17.3.6 步骤5：在Ghidra中测试
加载器 288
17.4 示例二：简易Shellcode源代码
加载器 289
17.4.1 更新1：修改导入查询的
响应 289
17.4.2 更新2：在源代码中定位
Shellcode 290
17.4.3 更新3：将Shellcode转化为
二进制数组 290
17.4.4 更新4：导入二进制数组 291
17.4.5 生成结果 291
17.5 示例三：简易ELF加载器 292
17.5.1 统一代码规范 293
17.5.2 ELF头部格式 293
17.5.3 明确支持的加载规格 294
17.5.4 将文件内容加载到Ghidra中 295
17.5.5 数据格式化与添加入口点 296
17.5.6 语言定义文件 297
17.5.7 选项文件 297
17.5.8 结果 298
17.6 小结 300
第18章 Ghidra处理器 301
18.1 理解Ghidra处理器模块 302
18.1.1 Eclipse处理器模块 302
18.1.2 SLEIGH 303
18.1.3 处理器手册 304
18.2 修改Ghidra处理器模块 305
18.2.1 问题陈述 306
18.2.2 示例1：在处理器模块中添加
指令 306
18.2.3 示例2：修改处理器模块中的
指令 312
18.2.4 示例3：在处理器模块中添加
寄存器 319
18.3 小结 321
第19章 Ghidra反编译器 322
19.1 反编译器分析 322
19.2 反编译器窗口 324
19.2.1 示例1：在反编译器窗口中
编辑 325
19.2.2 示例2：无返回值函数 329
19.2.3 示例3：自动创建结构体 331
19.3 小结 334
第20章 编译器变体 336
2