2017 年 3 月 7 日，维基解密开始披露 Vault 7 文件，这成为美国中央情报局机密文件的最大泄密事件 （CIA）。此次泄露包含了 24 个部分的秘密网络武器和间谍技术，分别命名为：Year Zero、Dark Matter、Marble、Grasshopper、HIVE、Weeping Angel、Scribbles、Archimedes、AfterMidnight、Assassin、Athena、Pandemic、Cherry Blossom、Brutal Kangaroo、Elsa、OutlawCountry、BothanSpy、Highrise、UCL/Raytheon、Imperial、Dumbo、CouchPotato、ExpressLane、Angelfire、以及 Protego。

据信这些 CIA 机密文件是由美国国家安全局情报官员泄露的，但这一说法从未得到 2006 年至 2009 年间任职的 CIA 局长迈克尔·文森特·海登的官方确认或否认。

Ghidra 的存在在"Vault 7: Year Zero"第一部分中被泄露。这部分内容包含从位于弗吉尼亚州兰利的中央情报局网络情报中心窃取的大量文件和文档。泄露内容涉及中情局的恶意软件库和零日武器化漏洞，以及如何将苹果 iPhone、谷歌 Android、微软 Windows 设备甚至三星电视变成隐蔽麦克风。

Ghidra 在此次泄露中被提及三次( https://wikileaks.org/ciav7p1/cms/index.html )，展示了如何安装它、使用 Ghidra 对 64 位内核缓存进行手动分析的分步教程(含截图)，以及当时可用的最新 Ghidra 版本，即 Ghidra 7. 0.2.

NSA 发布

正如在旧金山举行的 2019 年 RSA 大会上宣布的那样，美国国家安全局(NSA)网络安全高级顾问 Rob Joyce 在一个名为 获取免费的 NSA 逆向工程工具 的环节中解释了 Ghidra 的独特功能并发布了 Ghidra 程序二进制文件。

在此次会议中，讲解了一些功能特性：

团队在单个项目上的协作功能
扩展和规模化 Ghidra 的能力
通用处理器模型，也被称为 SLEIGH
两种工作模式：交互式和非图形界面
Ghidra 强大的分析功能

最终，在 2019 年 4 月 4 日，美国国家安全局（NSA）于 GitHub 上发布了 Ghidra 的源代码（https://github.com/NationalSecurityAgency/ghidra），同时也在 Ghidra 官网上提供了可直接使用的发布版本下载（https://ghidra-sre.org）。该网站首次提供的 Ghidra 版本为 9.0。根据所在国家/地区不同，Ghidra 官网可能对非美国访客开放访问限制；若遇此情况，可通过 VPN 或在线代理服务（例如 HideMyAss（https://www.hidemyass.com/））进行访问。

令美国国家安全局（NSA）遗憾的是，几小时后，首个 Ghidra 漏洞于 2019 年 3 月 6 日凌晨 1 点 20 分由 Matthew Hickey（又名 @hackerfantastic）公开披露。他通过 X 平台（原 Twitter）发表了以下声明：

Ghidra 在调试模式下会开放 JDWP 端口 18001，可被利用进行远程代码执行（捂脸表情）。修复方法：将 support/launch.sh 第 150 行的*改为 127.0.0.1https://github.com/hackerhouse-opensource/exploits/blob/master/jdwp-exploit.txt .

随后，关于 NSA 和 Ghidra 的诸多质疑接踵而至。但考虑到 NSA 的网络间谍能力，你认为 NSA 真的需要在自家软件中植入后门才能入侵用户吗？

显然不是。他们不需要这样做，因为他们已经拥有网络武器来达成目的。

使用 Ghidra 时你可以放心；或许，NSA 只是想通过做些体面的事来改善自身形象。既然 Ghidra 的存在已被维基解密曝光，还有什么比在 RSA 大会上发布并将其开源更好的方式呢？

Ghidra 与 IDA 及其他众多竞争产品的比较

即便你已经掌握了强大的逆向工程框架，比如 Interactive Disassembler （ IDA ）、 Binary Ninja 或 Radare2 ，仍有充分理由开始学习 Ghidra。

没有任何一个逆向工程框架是终极解决方案。每个逆向工程框架都有其优缺点。有些甚至无法直接比较，因为它们基于不同的设计理念（例如基于 GUI 的框架与基于命令行的框架）。

另一方面，你会看到这些产品始终在相互竞争并借鉴彼此。例如，IDA Pro 7.3 引入了撤销功能，该功能此前已由它的竞争对手 Ghidra 实现

在下面的截图中，你可以看到充满史诗感和幽默感的 @GHIDRA_RE 官方 X（原 Twitter）账号对 IDA Pr o 撤销功能的回应：

图 1.1 – IDA Pro 7.3 新增撤销功能以与 Ghidra 竞争

由于竞争关系，各框架间的差异可能发生变化，但我们可以列举 Ghidra 当前的一些优势：

它是开源且免费的（包括其反编译器）。
它支持多种架构（您当前使用的框架可能尚未支持这些架构）。
它能加载项目中的多个二进制文件。这一功能让您可以轻松对多个相关二进制文件（例如可执行文件及其库文件）进行操作。
它通过设计实现了协同逆向工程功能。
它能完美支持大型固件镜像（1GB 以上）。
它拥有完善的文档资料，包含示例和教程。
它支持二进制文件的版本追踪，使您能够在不同版本的二进制文件之间匹配函数、数据及其标记。

总之，建议尽可能多地学习各种框架，以了解并利用每个框架的优势。从这个角度来看，Ghidra 是一个强大的框架，您必须掌握。

Ghidra 概述

类似于 RSA 大会上的展示方式，我们将提供 Ghidra 的概览，介绍该工具及其功能。您很快就会发现 Ghidra 的强大之处，以及为什么这个工具不仅仅是又一个开源的逆向工程框架。

在撰写本书时，Ghidra 的最新可用版本是 11.0.1，可从本章前一节提到的官方网站下载。

注意

建议读者在学习本书中的练习时，下载相同版本的 Ghidra 及其他相关软件。

安装 Ghidra

建议下载 Ghidra 的最新版本（https://ghidra-sre.org/），点击红色 Download from GitHub 按钮，这将跳转至 GitHub 上的 Ghidra 发布页面，您可在此找到包括历史版本在内的所有已发布版本：

图 1.2 - 从官方网站下载 Ghidra

点击下载按钮将跳转至 GitHub 发布页面，如下图所示。在 Assets 部分，您将看到下载 GhidraZIP 压缩包的链接：

图 1.3 – Ghidra 的 GitHub 发布页面

下载 Ghidra 压缩包文件（ ghidra_11.0.1_PUBLIC_20240130.zip ）并解压后，您将看到以下文件结构：

图 1.4 – Ghidra 11.0.1 解压后的目录结构

内容可描述为如下（ https://ghidra-sre.org/InstallationGuide.html ）：

文档：包含 Ghidra 文档及一些极其有用的资源，例如面向各级用户的学习课程、速查表，以及逐步的安装指南
扩展功能 ：可选的 Ghidra 扩展，允许您增强其功能并实现与其他工具的集成
Ghidra : Ghidra 主程序
GPL : 独立的 GPL 支持程序
licenses : 包含 Ghidra 使用的许可证
server : 包含与 Ghidra 服务器安装和管理相关的文件
support ：允许您以高级模式运行 Ghidra 并控制其启动方式，包括将其启动为调试模式
ghidraRun ：用于在 Linux 和 iOS 上启动 Ghidra 的脚本
ghidraRun.bat ：批处理脚本，允许您在 Windows 上启动 Ghidra
LICENSE ：Ghidra 许可证文件
bom.json ：这是 软件物料清单 （ SBOM ）文件，采用 CycloneDX JSON 格式列出了构成 Ghidra 软件的所有组件或库；它有助于理解该项目的依赖关系

除了下载预编译的 Ghidra 发行版本外，您也可以按照下一节所述自行编译程序

自行编译 Ghidra

要自行构建 Ghidra，您需要按照 Ghidra GitHub 仓库构建部分的说明进行操作（详见： https://github.com/NationalSecurityAgency/ghidra?tab=readme-ov-file#build ）。

第一步是安装以下构建工具：

JDK 17 64 位版本（请从 https://adoptium.net/en-GB/temurin/releases/?os=windows&arch=x64&package=jdk&version=17 下载安装）
Gradle 7.3+（安装 Gradle 请按照 https://gradle.org/install 上的说明操作）
make、gcc 和 g++（仅限 Linux/macOS 系统）
Microsoft Visual Studio 2017+ 或 Microsoft C++ Build Tools 并安装以下组件 ( 仅限 Windows):
- MSVC
- Windows SDK
- C++ ATL

正确安装构建工具后，请从 https://github.com/NationalSecurityAgency/ghidra/archive/refs/heads/master.zip 下载并解压源代码，或使用以下 Git 命令克隆代码仓库：

> git clone https://github.com/NationalSecurityAgency/ghidra.git

然后进入解压或克隆的目录，使用 Gradle 构建 Ghidra。以下是需要执行的命令列表：

> gradle -I gradle/support/fetchDependencies.gradle init
> gradle buildGhidra

构建完成后，您将看到 BUILD SUCCESSFUL 消息，如下图所示：

图1.5 – 构建成功消息

这将生成一个包含 Ghidra 编译版本的压缩文件：

/ghidra/build/dist/ghidra_*.zip

运行 Ghidra

在启动 Ghidra 之前，请确保您的计算机满足以下要求：

硬件配置：
- 4 GB 内存
- 1 GB 存储空间（用于安装 Ghidra 二进制文件）
- 双显示器（强烈推荐）
软件：
- Java 17 64 位运行时及开发工具包

由于 Ghidra 是用 Java 编写的，如果在安装 Java 17 64 位运行时环境和开发工具包之前运行，可能会出现以下错误信息：

当未安装 Java 时，您将看到以下内容：
```
"Java runtime not found..."
```
当 Java Development Kit ( JDK ) 缺失时，您会看到以下内容：

图 1.6 – 缺失 JDK 错误

因此，如果您收到这些提示信息，请从 https://adoptium.net/en-GB/temurin/releases/?os=windows&arch=x64&package=jdk&version=17 下载 JDK .

如何解决安装问题

Ghidra 的逐步安装指南（包括已知问题）可在 Ghidra 文档目录中找到，路径为 docs\InstallationGuid e.html .

该指南也可在线访问： https://htmlpreview.github.io/?https://github.com/NationalSecurityAgency/ghidra/blob/master/GhidraDocs/InstallationGuide.html .

请注意，您可以在以下地址报告发现的新问题： https://github.com/NationalSecurityAgency/ghidra/issues .

安装 Ghidra 后，您可以通过 ghidraRun 在 Linux 和 macOS 上启动，或使用 ghidraRun.bat 在 Windows 上启动。

Ghidra 功能概述

在本节中，我们将概述 Ghidra 的一些基本功能，以便理解该程序的整体功能。这也是熟悉它的良好起点。

创建新的 Ghidra 项目

正如您将注意到的，与其他逆向工程工具不同，Ghidra 并不直接操作文件。相反，Ghidra 以项目为单位工作。让我们通过点击文件 | 新建项目... 来创建一个新项目。您也可以通过按下快捷键 Ctrl + N 更快地完成此操作（Ghidra 的完整快捷键列表可在 https://ghidra-sre.org/CheatSheet.html 以及 Ghidr a 的文档目录中找到）：

此外，项目可分为非共享与共享两种类型。由于我们需要分析一个 hello world 程序且无需与其他逆向工程师协作，因此选择非共享项目 ，随后点击 Next>> 按钮。接着程序会要求输入项目名称（helloworld）并选择存储位置：

图1.8 – 选择项目名称和目录

该项目由一个 hello world.gpr 文件、一个以及 hello world.rep 文件夹组成：

图 1.9 – Ghidra 项目结构

一个 Ghidra 项目（即 *.gpr 文件）只能由单个用户打开。因此，如果您尝试同时两次打开同一项目，系统通过 hello world.lock 和 hello world.lock~ 文件实现的并发锁将阻止此操作，如以下截图所示：

图 1.10 – Ghidra 项目已锁定

下一节我们将介绍如何向项目中添加二进制文件。

将文件导入到 Ghidra 项目

我们可以开始向 hello world 项目添加文件。为了用 Ghidra 分析一个极其简单的应用程序，我们将编译以下用 C 编程语言编写的 hello world 程序( hello_world.c )：

#include <stdio.h>
int main(){
    printf("Hello world.");
}

我们使用以下命令来编译它：

C:\Users\virusito\Desktop\hello_world> gcc.exe hello_world.c

我们来分析生成的 Microsoft Windows 可移植可执行文件： hello_world.exe .

让我们导入 hello world.exe 文件到项目中；为此，我们需要转到文件 | 导入文件 。或者，我们可以按下 I 键：

图 1.11 – 将文件导入 Ghidra 项目

Ghidra 自动识别出 hello_world.exe 程序是一个针对 32 位架构的 x86 便携式可执行二进制文件。由于已成功识别，我们可以点击确定继续。导入完成后，您将看到该文件的摘要：

图 1.12 – Ghidra 项目文件导入结果摘要

双击 hello_world.exe 文件或点击 工具柜 中的绿色 Ghidra 图标，文件将被打开并加载到 Ghidra 中：

图 1.13 – 包含可移植可执行文件的 Ghidra 项目

将文件导入项目后，您就可以开始进行逆向工程了。这是 Ghidra 的一项很棒的功能，它允许您将多个文件导入到单个项目中，因为您可以对多个文件（例如可执行二进制文件及其依赖项）执行某些操作（例如搜索）。在下一节中，我们将了解如何使用 Ghidra 分析这些文件。

配置和执行 Ghidra 分析

系统将询问是否分析该文件，建议您选择是，因为分析操作能识别函数、参数、字符串等重要信息。通常应允许 Ghidra 自动完成这些分析工作。系统提供了大量分析配置选项。点击任一选项即可查看其说明，相关描述会显示在右上角的描述区域：

图1.14 - 文件分析选项

点击分析进行文件分析。随后您将看到 Ghidra 的 CodeBrowser 窗口。如果遗漏分析内容也无需担心，您可稍后重新分析程序（前往分析选项卡，选择自动 分析‘hello_world.exe’… ）。

探索 Ghidra CodeBrowser

Ghidra CodeBrowser 默认采用了精心设计的停靠窗口布局，如下图所示：

图 1.15 – Ghidra 的 CodeBrowser 窗口

让我们来看看 CodeBrowser 的默认分布方式：

与常见的逆向工程框架一样，Ghidra 默认在屏幕中央显示文件的反汇编视图。
由于反汇编层面有时视角过于底层，Ghidra 集成了自己的反编译器，位于反汇编窗口右侧。程序的主函数通过 Ghidra 特征码识别，随后自动生成了参数。 Ghidra 还允许你在多个维度操作反编译代码。当然，文件的十六进制视图也在对应标签页中提供。这三个窗口（反汇编、反编译器和十六进制窗口）保持同步，为同一内容提供不同视角。
Ghidra 还允许您轻松浏览程序。例如，要跳转到其他程序段，您可以参考位于 程序树窗口，该窗口位于 CodeBrowser 的左上角。
如果您希望导航至某个符号（例如程序函数），请直接向下查看，找到符号树窗格所在位置。
如需处理数据类型，请再次向下滚动至数据 类型管理器 .
由于 Ghidra 支持通过脚本执行逆向工程任务，脚本运行结果会显示在底部对应的窗口中。当然，书签标签页也位于相同位置，允许您为任何内存地址创建记录完善且组织有序的书签，以便快速访问。
Ghidra 还在顶部设有快速访问栏。
在右下角，第一个字段显示的是当前地址。
当前地址之后会显示当前函数。
除了当前地址和当前函数外，当前反汇编行也会显示以完善上下文信息。
最后，主工具栏位于 CodeBrowser 的最顶部。