Ghidrecomp - Kommandozeilen-Ghidra-Decompiler

Über

Dieses Python-Kommandozeilenwerkzeug dekompiliert alle Funktionen einer Binärdatei und schreibt sie in ein Verzeichnis in separaten C-Dateien:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

Oder eine einzelne Datei `C` und Header-Datei mit `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

Der Hauptzweck besteht darin, die Dekompilierungen für Forschung und Analyse zu nutzen. Das Tool verwendet Ghidra zur Dekompilierung und kommuniziert mit Ghidra über jpype via pyghidra.

TOC

• Ghidrecomp - Command Line Ghidra Decompiler
  • Über
  • TOC
  • Funktionen
  • Verwendung
  • Ausgabedateien-Baum
  • Beispielverwendung mit Windows afd.sys:
    • Befehlszeile
    • Ausgabe
    • Dekompilierungs-Ausgabeverzeichnis
  • Beispielverwendung im Docker-Container
    • Befehl (Host)
    • In Docker auf /bin/ls ausführen
      • Ausgabe
    • Dekompilierungs-Ausgabeverzeichnis
  • Beispielverwendung mit Windows afd.sys Callgraph:
    • Befehlszeile
    • Ausgabe
    • Beispielausgabe des aufrufenden Callgraphs für AfdRestartDgConnect:
    • Beispiel-MindMap-Ausgabe für AfdRestartDgConnect
  • Beispiel für SAST-Scanning
    • Befehlszeile mit mehreren Regeldateien
    • Befehlszeile mit benutzerdefiniertem Regelverzeichnis
    • Befehlszeile mit kommagetrennten Regeln (abwärtskompatibel)
    • Ausgabe
    • SAST-Ausgabedateien
  • Beispiel für BSim-Signaturerzeugung
    • Befehlszeile
    • Ausgabe
    • Erzeugte Dateien
  • Installation
    • Optionale SAST-Abhängigkeiten
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Option 1 - Devcontainer
      • Option 2 - Docker

Funktionen

alle diese Funktionen werden letztendlich von Ghidra bereitgestellt

• Alle Funktionen dekompilieren (threaded)
  • in einen Ordner (-o OUTPUT_PATH)
  • in eine einzelne C-Datei und Header-Datei (--cppexport)
• Automatisch heruntergeladene Symbole für unterstützte Symbolserver (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• PDB für die Binärdatei angeben (--sym-file-path)
• Funktionen zum Dekompilieren filtern, die einem Regex entsprechen (--filter)
• Benutzerdefinierte Datentypen anwenden (--gdt)
• SAST-Scanning (--sast) mit Semgrep zur statischen Analyse des dekompilierten Codes
  • Unterstützung für mehrere Regeldateien/-verzeichnisse
  • SARIF-Ausgabe für die Integration mit Sicherheitswerkzeugen
  • Vorverarbeitung von Ghidra-spezifischen Aufrufkonventionen