OGhidra — OGhidra verbindet Large Language Models (LLMs) über Ollama mit der Reverse-Engineering-Plattform Ghidra und ermöglicht so KI-gesteuerte Binäranalyse durch natürliche Sprache. Interagiere mit Ghidra mithilfe von konversationellen Abfragen und automatisiere komplexe Reverse-Engineering-Workflows. | Kitploit

graph TD
    A[User Query] --> B[Planning Phase]
    B --> C{Execution Phase}
    C -- Tool Calls --> D[Ghidra/LLM]
    D --> C
    C --> E[Review Phase]
    E -- Agentic Loop --> B
    E --> F[Final Response]

    style E fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px

# Clone repository
git clone https://github.com/LLNL/OGhidra.git
cd OGhidra

# Install dependencies (choose one)
uv sync                          # Using UV (recommended)
pip install -r requirements.txt  # Using pip

# Configure environment
cp .env.example .env
# Edit .env with your settings

Voraussetzungen:
- Ghidra 12.0.3 installiert
- Java 21

Option 1: Verwendung der automatisierten Build-Skripte:

Windows:

# Set the path to your Ghidra installation (will attempt to find last run copy of Ghidra if not set)
set GHIDRA_INSTALL_DIR=C:\path\to\ghidra_12.0.3_PUBLIC

# Run the build script
build_ghidra_plugin.bat

Unix/Linux/Mac:

# Set the path to your Ghidra installation (will attempt to find the last run copy of Ghidra if not set)
export GHIDRA_INSTALL_DIR=/path/to/ghidra_12.0.3_PUBLIC

# Run the build script (make it executable first if needed)
chmod +x build_ghidra_plugin.sh
./build_ghidra_plugin.sh

Option 2: Manueller Build-Prozess:

Erstellen/Aktualisieren Sie OGhidraMCP/gradle.properties mit Ihrem Ghidra-Installationspfad:
```
GHIDRA_INSTALL_DIR=/absolute/path/to/ghidra_12.0.3_PUBLIC
```

On Unix/Linux/macOS:

cd OGhidraMCP
$GHIDRA_INSTALL_DIR/support/gradle/gradlew buildExtension --info

On Windows:

cd OGhidraMCP
"%GHIDRA_INSTALL_DIR%\support\gradle\gradlew.bat" buildExtension --info

Die erstellte Erweiterung finden:
- Die ZIP-Datei der Erweiterung wird in OGhidraMCP/dist/ erstellt
- The filename will be something like ghidra_12.0.3_PUBLIC_YYYYMMDD_OGhidraMCP.zip

# For Ollama (local models)
ollama pull gemma3:27b           		# Good balance (20GB RAM)
ollama pull nomic-embed-text     		# Embedding model for RAG

# Alternative models
ollama pull gpt-oss:120b         		# High quality (80GB RAM)
ollama pull devstral-2:123b 			# High quality (80GB RAM)
ollama pull devstral-2:123b-cloud       # Cloud Model

LLM_PROVIDER=custom_api
CUSTOM_API_URL=https://api.example.com/v1/chat/completions
CUSTOM_API_KEY=your-api-key-here
CUSTOM_API_MODEL=your-model-name
CUSTOM_API_EMBEDDING_MODEL=your-embedding-model

# Context budget in tokens (adjust to your model's limit)
CONTEXT_BUDGET=100000              # 100K tokens for mid-size models
                                   # 200K+ for frontier models

# Execution settings
MAX_EXECUTION_STEPS=5              # Steps per planning cycle
MAX_AGENTIC_CYCLES=3               # How many plan-execute-review loops
AGENTIC_LOOP_ENABLED=true          # Enable adaptive replanning

Werkzeug	Beschreibung
Aktuelle Funktion analysieren	Tiefgehende Analyse des Verhaltens der ausgewählten Funktion
Aktuelle Funktion umbenennen	KI schlägt aussagekräftige Namen basierend auf der Analyse vor
Alle Funktionen umbenennen	Massenumbenennung mit Optionen „Intelligent/Vollständig/Nur umbenennen“
Importe analysieren	Identifizieren von Bibliotheken und externen Abhängigkeiten
Strings analysieren	Finden von URLs, Anmeldeinformationen, Konfigurationsdaten
Bericht generieren	Umfassende Sicherheitsbewertung

# In GUI: Use "Task Mode" dropdown
# In CLI: set task_mode <mode>

task_mode malware      # Malware analysis with pattern detection
task_mode vuln         # Vulnerability research focus
task_mode general      # General reverse engineering

# Enumerate all functions with AI summaries
# Choose from:
- Rename Only: Only process generic function names
- Smart Enumeration: Focus on security-relevant functions
- Full Enumeration: Analyze every function in the binary

# Save progress
File → Save Session

# Load previous work
File → Load Session

# Auto-save after bulk operations
# Sessions include:
- Analyzed functions with summaries
- RAG vectors for semantic search
- Performance statistics
- UI state

# In GUI: Click "Generate Report" button
# Report includes:
- Executive Summary
- Function Inventory (renamed functions with behavior)
- Security Analysis (high-risk functions, patterns)
- Import Analysis
- String Analysis
- Recommendations

┌─────────────────────────────────────────────────────────────┐
│                        OGhidra UI                           │
│                  (GUI / Interactive CLI)                    │
└────────────────────────┬────────────────────────────────────┘
                         │
                         ▼
┌─────────────────────────────────────────────────────────────┐
│                   Bridge (src/bridge.py)                    │
│  ┌────────────────────────────────────────────────────────┐ │
│  │ • Agentic Loop: Plan → Execute → Review → Replan       │ │
│  │ • Tool Router: Ghidra client, LLM client, CAG manager  │ │
│  │ • Context Manager: Budget allocation, compression      │ │
│  └────────────────────────────────────────────────────────┘ │
└───────────┬────────────────────────┬────────────────────────┘
            │                        │
            ▼                        ▼
┌───────────────────────┐  ┌─────────────────────────┐
│   Ghidra Client       │  │   LLM Clients           │
│ • GhidraMCP Plugin    │  │ • Ollama (local)        │
│ • Binary operations   │  │ • External APIs         │
│ • Decompilation       │  │ • Custom endpoints      │
└───────────────────────┘  └─────────────────────────┘
            │                        │
            └────────────┬───────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│               CAG Manager (Knowledge System)                │
│  ┌────────────────────────────────────────────────────────┐ │
│  │ • Vector Store: Semantic search over functions         │ │
│  │ • Pattern Detector: 12+ malware techniques             │ │
│  │ • Metadata Extractor: Structured function analysis     │ │
│  │ • Session Store: Persistent analysis state             │ │
│  └────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────┘

Backend-Option	Beschreibung
`http`	Verwendet das GhidraMCP-Backend
`pyghidra`	Verwendet das PyGhidra-Backend

OGhidra

Beliebteste

Über

OGhidra 3 – KI-gestütztes Reverse Engineering mit Ghidra

Was ist OGhidra?

So funktioniert es

Schnellstart

Voraussetzungen

Installation

Ghidra-Plugin einrichten

Erstellen der GhidraMCP-Erweiterung

Installieren der GhidraMCP-Erweiterung

KI-Modelle herunterladen

OGhidra starten

Konfiguration

Option 1: Lokale Modelle (Ollama)

Option 2: Externe APIs

Option 3: Benutzerdefinierte OpenAI-kompatible API

Einstellungen für das Kontextmanagement

Hauptfunktionen

1. Intelligente Werkzeug-Schaltflächen (GUI)

2. Aufgabenmodi

3. Erkennung von Malware-Mustern

4. Intelligente Aufzählung

5. Sitzungsverwaltung

Backend-Einrichtung

Auswählen eines Backends

PyGhidra-Konfiguration

Verwenden eines bestehenden Ghidra-Projekts

Auswählen eines Programms

Direktes Starten einer Binärdatei

Häufige Workflows

Analysieren einer verdächtigen Binärdatei

Sicherheitsbericht generieren

Bestimmte Funktion untersuchen

Erweiterte Funktionen

RAG (Retrieval-Augmented Generation)

Kontextoptimierung

LLM-Protokollierung

Fehlerbehebung

Ghidra-Verbindungsprobleme

Ollama-Verbindungsprobleme

Leere Antworten / Kontextüberlauf

Langsame Leistung

Architekturüberblick

Mitwirken

Zitation

Danksagungen

Lizenz

Support