Ghidrecomp - Command Line Ghidra Decompiler

소개

이 Python 명령줄 도구는 바이너리의 모든 함수를 디컴파일하여 개별 C 파일로 디렉터리에 작성합니다:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

또는 단일 파일 `C` 및 헤더 파일을 `--cppexport`와 함께 사용하십시오:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

이 도구의 주요 목적은 디컴파일 결과를 연구 및 분석에 활용하는 것입니다. 이 도구는 디컴파일을 위해 Ghidra에 의존하며, pyghidra를 통해 jpype로 Ghidra와 통신합니다.

TOC

• Ghidrecomp - Ghidra 커맨드라인 디컴파일러
  • 소개
  • TOC
  • 기능
  • 사용법
  • 출력 파일 트리
  • Windows afd.sys 사용 예시:
    • 커맨드라인
    • 출력
    • 디컴파일 출력 디렉터리
  • Docker 컨테이너에서의 사용 예시
    • 커맨드 (호스트)
    • /bin/ls에서 docker로 실행
      • 출력
    • 디컴파일 출력 디렉터리
  • Windows afd.sys Callgraph 사용 예시:
    • 커맨드라인
    • 출력
    • 샘플 호출 Callgraph 출력 AfdRestartDgConnect:
    • AfdRestartDgConnect용 샘플 MindMap 출력
  • SAST 스캐닝 예시
    • 여러 규칙 파일을 사용한 커맨드라인
    • 사용자 지정 규칙 디렉터리를 사용한 커맨드라인
    • 쉼표로 구분된 규칙을 사용한 커맨드라인 (하위 호환)
    • 출력
    • SAST 출력 파일
  • BSim 시그니처 생성 예시
    • 커맨드라인
    • 출력
    • 생성된 파일
  • 설치
    • 선택적 SAST 의존성
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • 옵션 1 - Devcontainer
      • 옵션 2 - Docker

기능

이 모든 기능은 궁극적으로 Ghidra가 제공합니다

• 모든 함수 디컴파일 (스레드 방식)
  • 폴더로 (-o OUTPUT_PATH)
  • 단일 C 파일 및 헤더 파일로 (--cppexport)
• 지원되는 심볼 서버에 대해 자동으로 다운로드된 심볼 (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• 바이너리의 PDB 지정 (--sym-file-path)
• 정규식과 일치하는 디컴파일할 함수 필터링 (--filter)
• 사용자 지정 데이터 타입 적용 (--gdt)
• 디컴파일된 코드의 정적 분석을 위한 Semgrep 기반 SAST 스캐닝 (--sast)
  • 여러 규칙 파일/디렉터리 지원
  • 보안 도구와의 통합을 위한 SARIF 출력
  • Ghidra 특정 호출 규약 전처리

사용법```

usage: ghidrecomp [-h] [--cppexport] [--filter FILTERS] [--project-path PROJECT_PATH] [--gdt [GDT]] [-o OUTPUT_PATH] [-v] [--skip-cache] [--sym-file-path SYM_FILE_PATH | -s SYMBOLS_PATH | --skip-symbols] [-t THREAD_COUNT] [--va] [--fa] [--max-ram-percent MAX_RAM_PERCENT] [--print-flags] [--callgraphs] [--callgraph-filter CALLGRAPH_FILTER] [--mdd MAX_DISPLAY_DEPTH] [--max-time-cg-gen MAX_TIME_CG_GEN] [--cg-direction {calling,called,both}] [--bsim] [--bsim-sig-path BSIM_SIG_PATH] [--bsim-template BSIM_TEMPLATE] [--bsim-cat BSIM_CAT] [--sast] [--semgrep-rules SEMGREP_RULES] [--codeql-rules CODEQL_RULES] bin

ghidrecomp - A Command Line Ghidra Decompiler

positional arguments: bin Path to binary used for analysis

options: -h, --help show this help message and exit --cppexport Use Ghidras CppExporter to decompile to single file (default: False) --filter FILTERS Regex match for function name (default: None) --project-path PROJECT_PATH Path to base ghidra projects (default: ghidra_projects) --gdt [GDT] Additional GDT to apply (default: None) -o OUTPUT_PATH, --output-path OUTPUT_PATH Location for all decompilations (default: ghidrecomps) -v, --version show program's version number and exit --skip-cache Skip cached and genearate new decomp and callgraphs. (default: False) --sym-file-path SYM_FILE_PATH Specify single pdb symbol file for bin (default: None) -s SYMBOLS_PATH, --symbols-path SYMBOLS_PATH Path for local symbols directory (default: symbols) --skip-symbols Do not apply symbols (default: False) -t THREAD_COUNT, --thread-count THREAD_COUNT Threads to use for processing. Defaults to cpu count (default: 12) --va Enable verbose analysis (default: False) --fa Force new analysis (even if already analyzed) (default: False)

JVM Options: --max-ram-percent MAX_RAM_PERCENT Set JVM Max Ram % of host RAM (default: 50.0) --print-flags Print JVM flags at start (default: False)

Callgraph Options: --callgraphs Generate callgraph markdown (default: False) --callgraph-filter CALLGRAPH_FILTER Only generate callgraphs for functions matching filter (default: .) --mdd MAX_DISPLAY_DEPTH, --max-display-depth MAX_DISPLAY_DEPTH Max Depth for graph generation (default: None) --max-time-cg-gen MAX_TIME_CG_GEN Max time in seconds to wait for callgraph gen. (default: 5) --cg-direction {calling,called,both} Direction for callgraph. (default: calling)

BSim Options: --bsim Generate BSim function feature vector signatures (default: False) --bsim-sig-path BSIM_SIG_PATH Path to store BSim xml sigs (default: bsim-xmls) --bsim-template BSIM_TEMPLATE BSim database template (default: medium_nosize) --bsim-cat BSIM_CAT BSim category. (type:value) --bsim-cat color:red (default: None)

SAST Options: --sast Run SAST scanning on decompiled code with semgrep and CodeQL (default: False) --semgrep-rules SEMGREP_RULES Path to local semgrep rule file or directory (can be specified multiple times, default: p/c) (default: None) --codeql-rules CODEQL_RULES Comma-separated paths to local CodeQL query directories (placeholder) (default: None)

## 출력 파일 트리