Ghidra Notes

Symbole

Źródła default, analysis, imported, user-defined. Wbrew pozorom, ogólna funkcja odkryta podczas analizy ma źródło domyślne, ale znowu funkcja Unwind@* oraz rozpoznane implementacje strchr ze starych bibliotek itd. są oznaczone jako produkty analizy.

Typy: czym się rózni etykietka instrukcji od innych etykietek?

Dekompilator

Pseudomakra jak CONCAT13(x,y) oznaczają sklejanie bajtów: w tym przypadku jednego bajta x z trzema bajtami y.

Skrypty

Szablon Java:

import ghidra.app.script.GhidraScript;
public class MyGhidraScript extends GhidraScript {

	@Override
	public void run() throws Exception {
		....
	}
}

Preskrypty są uruchamiane przed analizą, postskrypty po.

analyzeHeadless

analyzeHeadless myproj myproj.gpr -process mybin.exe -preScript ghidra_basics.py

Własne skrypty:

analyzeHeadless $PROJ_DIR myproj.gpr -process mybin.exe -scriptPath  $PROJ_DIR/ghidra_scripts -preScript ghidra_basics.py

Analizuj importowany plik do nie zapisując projektu:

analyzeHeadless . nieważne.gpr -import /bin/ls -deleteProject -postScript xyz.java

FEATURED TAGS

assembly aws boostrap bpftrace c c++ clang cloud cmake compilers cryptography css dbus debian elf gcc gcov gdb ghidra git glibc gnu gpg gui http javascript jq kernel ld.so linux llvm make nasm networking node npm opengl pam pl postgres python qt reversing shell sql sqlite ssh sudo sysadmin systemd twilio uftrace usb vim virtualization winapi wireshark www x86 xml xpath zsh