Ghidrecomp - Descompilador Ghidra de línea de comandos

Acerca de

Esta herramienta de línea de comandos en Python descompila todas las funciones de un binario y las escribe en un directorio en archivos C separados:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

O un único archivo `C` y archivo de cabecera con `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

El propósito principal de esto es utilizar las descompilaciones para investigación y análisis. La herramienta se basa en Ghidra para la descompilación y se comunica con Ghidra mediante jpype a través de pyghidra.

Índice

• Ghidrecomp - Descompilador Ghidra de Línea de Comandos
  • Acerca de
  • Índice
  • Características
  • Uso
  • Árbol de archivos de salida
  • Ejemplo de uso con Windows afd.sys:
    • Línea de comandos
    • Salida
    • Directorio de salida de descompilación
  • Ejemplo de uso en contenedor Docker
    • Comando (Host)
    • Ejecutar en docker sobre /bin/ls
      • Salida
    • Directorio de salida de descompilación
  • Ejemplo de uso con grafo de llamadas de Windows afd.sys:
    • Línea de comandos
    • Salida
    • Ejemplo de salida de grafo de llamadas AfdRestartDgConnect:
    • Ejemplo de salida de MindMap para AfdRestartDgConnect
  • Ejemplo de escaneo SAST
    • Línea de comandos con múltiples archivos de reglas
    • Línea de comandos con directorio de reglas personalizado
    • Línea de comandos con reglas separadas por comas (compatible con versiones anteriores)
    • Salida
    • Archivos de salida SAST
  • Ejemplo de generación de firmas BSim
    • Línea de comandos
    • Salida
    • Archivos generados
  • Instalación
    • Dependencias SAST opcionales
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Opción 1 - Devcontainer
      • Opción 2 - Docker

Características

todas estas características las proporciona en última instancia Ghidra

• Descompilar todas las funciones (multihilo)
  • a una carpeta (-o OUTPUT_PATH)
  • a un único archivo c y archivo de cabecera (--cppexport)
• Símbolos descargados automáticamente para servidores de símbolos compatibles (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• Especificar el pdb para el binario (--sym-file-path)
• Filtrar funciones a descompilar que coincidan con la regex (--filter)
• Aplicar tipos de datos personalizados (--gdt)
• Escaneo SAST (--sast) con Semgrep para el análisis estático del código descompilado
  • Soporte para múltiples archivos/directorios de reglas
  • Salida SARIF para integración con herramientas de seguridad
  • Preprocesamiento de convenciones de llamada específicas de Ghidra