Ghidrecomp - Décompilateur Ghidra en ligne de commande

À propos

Cet outil Python en ligne de commande décompile toutes les fonctions d'un binaire et les écrit dans un répertoire sous forme de fichiers C séparés :```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

Ou un seul fichier `C` et fichier d'en-tête avec `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

Le but principal est d'utiliser les décompilations pour la recherche et l'analyse. L'outil s'appuie sur Ghidra pour la décompilation et communique avec Ghidra à l'aide de jpype via pyghidra.

TOC

• Ghidrecomp - Décompilateur Ghidra en ligne de commande
  • À propos
  • TOC
  • Fonctionnalités
  • Utilisation
  • Arborescence des fichiers de sortie
  • Exemple d'utilisation avec Windows afd.sys :
    • Ligne de commande
    • Sortie
    • Répertoire de sortie de la décompilation
  • Exemple d'utilisation dans un conteneur Docker
    • Commande (hôte)
    • Exécution dans docker sur /bin/ls
      • Sortie
    • Répertoire de sortie de la décompilation
  • Exemple d'utilisation avec le graphe d'appels de Windows afd.sys :
    • Ligne de commande
    • Sortie
    • Exemple de sortie du graphe d'appels AfdRestartDgConnect :
    • Exemple de sortie MindMap pour AfdRestartDgConnect
  • Exemple d'analyse SAST
    • Ligne de commande avec plusieurs fichiers de règles
    • Ligne de commande avec un répertoire de règles personnalisé
    • Ligne de commande avec règles séparées par des virgules (rétrocompatible)
    • Sortie
    • Fichiers de sortie SAST
  • Exemple de génération de signatures BSim
    • Ligne de commande
    • Sortie
    • Fichiers générés
  • Installation
    • Dépendances SAST optionnelles
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Option 1 - Devcontainer
      • Option 2 - Docker

Fonctionnalités

toutes ces fonctionnalités sont finalement fournies par Ghidra

• Décompile toutes les fonctions (en multithread)
  • dans un dossier (-o OUTPUT_PATH)
  • dans un fichier c unique et un fichier d'en-tête (--cppexport)
• Symboles téléchargés automatiquement pour les serveurs de symboles pris en charge (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• Spécifier le pdb du binaire (--sym-file-path)
• Filtrer les fonctions à décompiler selon une regex (--filter)
• Appliquer des types de données personnalisés (--gdt)
• Analyse SAST (--sast) avec Semgrep pour l'analyse statique du code décompilé
  • Prise en charge de plusieurs fichiers/répertoires de règles
  • Sortie SARIF pour l'intégration avec des outils de sécurité
  • Prétraitement des conventions d'appel spécifiques à Ghidra