Ghidrecomp - Descompilador Ghidra de Linha de Comando

Sobre

Esta ferramenta Python de linha de comando descompila todas as funções de um binário e as escreve em um diretório em arquivos C separados:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

Ou um único arquivo `C` e arquivo de cabeçalho com `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

O objetivo principal disso é usar as decompilações para pesquisa e análise. A ferramenta depende do Ghidra para decompilação e se comunica com o Ghidra usando jpype via pyghidra.

TOC

• Ghidrecomp - Decompilador Ghidra de Linha de Comando
  • Sobre
  • TOC
  • Recursos
  • Uso
  • Árvore de Arquivos de Saída
  • Exemplo de Uso com afd.sys do Windows:
    • Linha de comando
    • Saída
    • Diretório de Saída da Decompilação
  • Exemplo de uso em container Docker
    • Comando (Host)
    • Executar no docker em /bin/ls
      • Saída
    • Diretório de Saída da Decompilação
  • Exemplo de Uso com Callgraph do afd.sys do Windows:
    • Linha de comando
    • Saída
    • Exemplo de Saída do Callgraph de Chamadas AfdRestartDgConnect:
    • Exemplo de Saída do MindMap para AfdRestartDgConnect
  • Exemplo de Varredura SAST
    • Linha de comando com vários arquivos de regras
    • Linha de comando com diretório de regras personalizado
    • Linha de comando com regras separadas por vírgula (compatível com versões anteriores)
    • Saída
    • Arquivos de Saída do SAST
  • Exemplo de geração de assinatura BSim
    • Linha de comando
    • Saída
    • Arquivos gerados
  • Instalação
    • Dependências SAST opcionais
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Opção 1 - Devcontainer
      • Opção 2 - Docker

Recursos

todos esses recursos são, em última análise, fornecidos pelo Ghidra

• Decompilar todas as funções (com threads)
  • para uma pasta (-o OUTPUT_PATH)
  • para um único arquivo C e arquivo de cabeçalho (--cppexport)
• Símbolos baixados automaticamente para servidores de símbolos suportados (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• Especificar o pdb para o binário (--sym-file-path)
• Filtrar funções a serem decompiladas que correspondam à regex (--filter)
• Aplicar tipos de dados personalizados (--gdt)
• Varredura SAST (--sast) com Semgrep para análise estática do código decompilado
  • Suporte para vários arquivos/diretórios de regras
  • Saída SARIF para integração com ferramentas de segurança
  • Pré-processamento de convenções de chamada específicas do Ghidra