Ghidrecomp - Decompilatore Ghidra da riga di comando

Informazioni

Questo strumento Python da riga di comando decompila tutte le funzioni di un binario e le scrive in una directory in file C separati:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

Oppure un singolo file `C` e un file di intestazione con `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

Lo scopo principale di questo è utilizzare le decompilazioni per ricerca e analisi. Lo strumento si basa su Ghidra per la decompilazione e comunica con Ghidra tramite jpype via pyghidra.

Sommario

• Ghidrecomp - Decompilatore Ghidra da riga di comando
  • Informazioni
  • Sommario
  • Funzionalità
  • Utilizzo
  • Albero dei file di output
  • Esempio di utilizzo con Windows afd.sys:
    • Riga di comando
    • Output
    • Directory di output della decompilazione
  • Esempio di utilizzo in un container Docker
    • Comando (Host)
    • Esecuzione in docker su /bin/ls
      • Output
    • Directory di output della decompilazione
  • Esempio di utilizzo con il callgraph di Windows afd.sys:
    • Riga di comando
    • Output
    • Output di esempio del callgraph di chiamata AfdRestartDgConnect:
    • Output di esempio della MindMap per AfdRestartDgConnect
  • Esempio di scansione SAST
    • Riga di comando con più file di regole
    • Riga di comando con directory di regole personalizzata
    • Riga di comando con regole separate da virgola (retrocompatibile)
    • Output
    • File di output SAST
  • Esempio di generazione di firme BSim
    • Riga di comando
    • Output
    • File generati
  • Installazione
    • Dipendenze SAST opzionali
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Opzione 1 - Devcontainer
      • Opzione 2 - Docker

Funzionalità

tutte queste funzionalità sono in definitiva fornite da Ghidra

• Decompila tutte le funzioni (multi-thread)
  • in una cartella (-o OUTPUT_PATH)
  • in un singolo file C e file header (--cppexport)
• Simboli scaricati automaticamente per i symbol server supportati (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• Specifica il pdb per il binario (--sym-file-path)
• Filtra le funzioni da decompilare che corrispondono alla regex (--filter)
• Applica tipi di dati personalizzati (--gdt)
• Scansione SAST (--sast) con Semgrep per l'analisi statica del codice decompilato
  • Supporto per più file/directory di regole
  • Output SARIF per l'integrazione con strumenti di sicurezza
  • Pre-elaborazione delle convenzioni di chiamata specifiche di Ghidra