Ghidra 开源逆向分析工具详解

（五）c++filt 命令

作用：将 C++ 编译器生成的修饰名（Mangled Names）还原为可读的函数名。 典型用法：配合 nm 使用，分析重载函数。

nm <文件名> | c++filt

（六）strings 命令

作用：从二进制文件中提取可打印的字符串序列。 典型用法：

strings <文件名>

常用参数：

• -t [o|x|d]：打印字符串的偏移量（八进制、十六进制或十进制），便于定位。
• -e [s|S|l|L|b|B|h|H]：指定字符编码（如 UTF-8, UTF-16 等），用于搜索宽字符。
• -a：扫描整个文件，而不仅仅是数据段（默认只扫描已加载的数据区）。
• -n <len>：设置最小字符串长度（默认为 4）。

二、平台特定工具与对抗技术

1. Windows 可执行文件分析工具

• PE Tools：全面的 PE 文件查看器，可编辑节表、资源等。
• PEiD：经典的查壳工具，用于识别打包器、编译器版本（注：较老，对新壳支持有限）。

2. Linux/通用反汇编工具

• ndisasm (NASM 配套)：简单的线性反汇编器。
• distorm3：强大的轻量级反汇编引擎，常用于脚本集成。

3. 反逆向方案（保护技术）

用于增加逆向分析难度的加壳或混淆工具：

• 压缩壳：UPX (开源，主要压缩体积，易脱壳), ASPack。
• 加密/保护壳：ASProtect, Themida, TELock, VMProtect (虚拟化保护，难度较高)。

4. 去混淆与脱壳方案

• QuickUnpack：
  • 原理：在内存中运行被保护的程序，利用其自身解压/解密机制，在内存中还原原始代码后提取（Dump）。
  • 建议：由于涉及执行未知代码，务必在沙盒或隔离虚拟机环境中进行分析。
• 其他通用方法：OllyDbg/x64dbg 动态调试脱壳、Unpacker 插件、手动修复 IAT。

三、语言特性与底层结构

1. 堆栈（Stack）机制

• 数据残留：pop 操作通常只是移动栈顶指针（ESP/RSP），并不会立即清除内存中的数据。
• 安全性：旧数据在被新数据覆盖（push）之前，理论上仍存在于内存中，可通过内存转储或调试手段恢复（可能导致信息泄露）。

2. Main 函数

• 程序的入口点。在 C/C++ 中，实际入口往往是启动例程（如 _start -> __libc_start_main -> main）。
• 逆向时需注意参数传递（argc, argv, envp）。

3. 函数重载与名称修饰

C++ 支持函数重载，编译器会将函数名、参数类型、命名空间等信息编码成唯一的符号名。

• 示例函数：void SubClass::vfunc1()
• Microsoft (MSVC) 格式：?vfunc1@SubClass@@UAEXXZ
  • ? 开头，@ 分隔符，包含类名、调用约定、返回类型等信息。
• Intel/GNU (GCC/Clang) 格式：_ZN8SubClass6vfunc1Ev
  • _Z 开头，N 表示命名空间/类，数字表示后续标识符长度，E 结束，v 表示 void。
• 解析工具：使用 c++filt 可相互转换。

四、Ghidra 逆向分析框架详解

（一）特殊前缀与数据类型

Ghidra 在反编译窗口中会对变量和地址添加前缀以区分类型：

注：address 代表具体的十六进制地址值。

（二）Language ID 规范

Ghidra 使用特定的字符串标识处理器架构和模式，格式如下：处理器：端序：位宽：变体/模式：编译器

• 处理器：x86, x86_64, ARM, MIPS, AARCH64 等。
• 端序：
  • LE：小端序（Intel x86, ARM 默认）。
  • BE：大端序（部分 MIPS, 旧版 ARM）。
• 架构大小：16, 32, 64 (指寄存器宽度/地址总线宽度)。
• 处理器变体或模式：
  • x86：real (实模式), protected (保护模式), v86 (虚拟 8086)。
  • ARM：v4, v5, v7, v8, thumb (Thumb 指令集模式)。
• 编译器：gcc, borlandcpp, borlanddelphi, msvc 等，有助于优化反编译逻辑。

示例：x86:LE:32:default:gcc

（三）协作分析

• 优势：Ghidra 原生支持多人同时在一个项目中工作，适合团队逆向大型项目。相比 IDA Pro 的协作方案，Ghidra 更加开放且免费。
• 设置：需要搭建 Ghidra Server (基于 Java)，配置数据库连接，团队成员通过客户端连接同一服务器项目进行实时同步。

（四）二次开发

• 支持语言：主要支持 Java (编写插件/模块) 和 Python/Jython (编写自动化脚本)。
• 应用场景：
  • 批量处理文件。
  • 自定义分析逻辑（如识别特定的加密算法）。
  • 自动化重命名函数和变量。
  • 导出特定格式的报告。

API：提供丰富的 API 访问反汇编列表、反编译伪代码、符号表等。

用户界面交互

核心数据接口

1. 地址与符号

2. 引用关系

GhidraScript 类成员与任务监控

1. 预设数据成员

2. 任务监控

（五）无头模式

• 定义：在不启动图形用户界面 (GUI) 的情况下运行 Ghidra。
• 工具：analyzeHeadless 脚本。
• 用途：
  • CI/CD 集成：在自动化流水线中自动分析二进制文件。
  • 批量处理：一次性分析成百上千个样本。
  • 服务器部署：在资源受限或无显示环境的服务器上运行分析任务。
  • 脚本执行：直接调用 Python/Java 脚本对文件进行处理并输出结果。

常用参数详解

基本命令结构：

analyzeHeadless <项目路径> <项目名称> -import <文件路径> -scriptPath <脚本目录> -postScript <脚本名>.py