OGhidra — OGhidra conecta Modelos de Linguagem Grandes (LLMs) via Ollama com a plataforma de engenharia reversa Ghidra, possibilitando análise binária orientada por IA por meio de linguagem natural. Interaja com o Ghidra usando consultas conversacionais e automatize fluxos de trabalho complexos de engenharia reversa. | Kitploit

graph TD
    A[User Query] --> B[Planning Phase]
    B --> C{Execution Phase}
    C -- Tool Calls --> D[Ghidra/LLM]
    D --> C
    C --> E[Review Phase]
    E -- Agentic Loop --> B
    E --> F[Final Response]

    style E fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px

# Clone repository
git clone https://github.com/LLNL/OGhidra.git
cd OGhidra

# Install dependencies (choose one)
uv sync                          # Using UV (recommended)
pip install -r requirements.txt  # Using pip

# Configure environment
cp .env.example .env
# Edite .env com suas configurações

Pré-requisitos:
- Ghidra 12.0.3 instalado
- Java 21

Opção 1: Usando os scripts de construção automatizados:

Windows:

# Set the path to your Ghidra installation (will attempt to find last run copy of Ghidra if not set)
set GHIDRA_INSTALL_DIR=C:\path\to\ghidra_12.0.3_PUBLIC

# Run the build script
build_ghidra_plugin.bat

Unix/Linux/Mac:

# Set the path to your Ghidra installation (will attempt to find the last run copy of Ghidra if not set)
export GHIDRA_INSTALL_DIR=/path/to/ghidra_12.0.3_PUBLIC

# Run the build script (make it executable first if needed)
chmod +x build_ghidra_plugin.sh
./build_ghidra_plugin.sh

Opção 2: Processo de construção manual:

Crie/atualize OGhidraMCP/gradle.properties com o caminho de instalação do Ghidra:
```
GHIDRA_INSTALL_DIR=/absolute/path/to/ghidra_12.0.3_PUBLIC
```

On Unix/Linux/macOS:

cd OGhidraMCP
$GHIDRA_INSTALL_DIR/support/gradle/gradlew buildExtension --info

On Windows:

cd OGhidraMCP
"%GHIDRA_INSTALL_DIR%\support\gradle\gradlew.bat" buildExtension --info

Localize a extensão construída:
- O arquivo zip da extensão é criado em OGhidraMCP/dist/
- O nome do arquivo será algo como ghidra_12.0.3_PUBLIC_YYYYMMDD_OGhidraMCP.zip

# Para Ollama (modelos locais)
ollama pull gemma3:27b           		# Bom equilíbrio (20GB RAM)
ollama pull nomic-embed-text     		# Modelo de embedding para RAG

# Modelos alternativos
ollama pull gpt-oss:120b         		# Alta qualidade (80GB RAM)
ollama pull devstral-2:123b 			# Alta qualidade (80GB RAM)
ollama pull devstral-2:123b-cloud       # Modelo na Nuvem

LLM_PROVIDER=custom_api
CUSTOM_API_URL=https://api.example.com/v1/chat/completions
CUSTOM_API_KEY=your-api-key-here
CUSTOM_API_MODEL=your-model-name
CUSTOM_API_EMBEDDING_MODEL=your-embedding-model

# Orçamento de contexto em tokens (ajuste conforme o limite do seu modelo)
CONTEXT_BUDGET=100000              # 100K tokens para modelos de médio porte
                                   # 200K+ para modelos de ponta

# Configurações de execução
MAX_EXECUTION_STEPS=5              # Passos por ciclo de planejamento
MAX_AGENTIC_CYCLES=3               # Quantos ciclos de planejar-executar-revisar
AGENTIC_LOOP_ENABLED=true          # Ativar replanejamento adaptativo

Ferramenta	Descrição
Analyze Current Function	Aprofundamento no comportamento da função selecionada
Rename Current Function	IA sugere nomes significativos com base na análise
Rename All Functions	Renomeação em massa com opções Smart/Full/Rename-Only
Analyze Imports	Identifica bibliotecas e dependências externas
Analyze Strings	Encontra URLs, credenciais, dados de configuração
Generate Report	Avaliação abrangente de segurança

# Na GUI: Use o menu suspenso "Task Mode"
# Na CLI: defina task_mode <mode>

task_mode malware      # Análise de malware com detecção de padrões
task_mode vuln         # Foco em pesquisa de vulnerabilidades
task_mode general      # Engenharia reversa geral

# Enumere todas as funções com resumos da IA
# Escolha entre:
- Rename Only: Processa apenas nomes genéricos de funções
- Smart Enumeration: Foco em funções relevantes para segurança
- Full Enumeration: Analisa todas as funções no binário

# Salvar progresso
File → Save Session

# Carregar trabalho anterior
File → Load Session

# Salvamento automático após operações em massa
# As sessões incluem:
- Funções analisadas com resumos
- Vetores RAG para busca semântica
- Estatísticas de desempenho
- Estado da interface

# Na GUI: Clique no botão "Generate Report"
# O relatório inclui:
- Resumo Executivo
- Inventário de Funções (funções renomeadas com comportamento)
- Análise de Segurança (funções de alto risco, padrões)
- Análise de Imports
- Análise de Strings
- Recomendações

┌─────────────────────────────────────────────────────────────┐
│                        OGhidra UI                           │
│                  (GUI / Interactive CLI)                    │
└────────────────────────┬────────────────────────────────────┘
                         │
                         ▼
┌─────────────────────────────────────────────────────────────┐
│                   Bridge (src/bridge.py)                    │
│  ┌────────────────────────────────────────────────────────┐ │
│  │ • Agentic Loop: Plan → Execute → Review → Replan       │ │
│  │ • Tool Router: Ghidra client, LLM client, CAG manager  │ │
│  │ • Context Manager: Budget allocation, compression      │ │
│  └────────────────────────────────────────────────────────┘ │
└───────────┬────────────────────────┬────────────────────────┘
            │                        │
            ▼                        ▼
┌───────────────────────┐  ┌─────────────────────────┐
│   Ghidra Client       │  │   LLM Clients           │
│ • GhidraMCP Plugin    │  │ • Ollama (local)        │
│ • Binary operations   │  │ • External APIs         │
│ • Decompilation       │  │ • Custom endpoints      │
└───────────────────────┘  └─────────────────────────┘
            │                        │
            └────────────┬───────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│               CAG Manager (Knowledge System)                │
│  ┌────────────────────────────────────────────────────────┐ │
│  │ • Vector Store: Semantic search over functions         │ │
│  │ • Pattern Detector: 12+ malware techniques             │ │
│  │ • Metadata Extractor: Structured function analysis     │ │
│  │ • Session Store: Persistent analysis state             │ │
│  └────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────┘

Opção de Backend	Descrição
`http`	Usa o backend GhidraMCP
`pyghidra`	Usa o backend PyGhidra

OGhidra

Mais Populares

Sobre

OGhidra 3 - Engenharia Reversa com IA usando Ghidra

O que é OGhidra?

Como Funciona

Início Rápido

Pré-requisitos

Instalação

Configurar Plugin do Ghidra

Construindo a Extensão GhidraMCP

Instalando a Extensão GhidraMCP

Baixar Modelos de IA

Iniciar OGhidra

Configuração

Opção 1: Modelos Locais (Ollama)

Opção 2: APIs Externas

Opção 3: API Personalizada Compatível com OpenAI

Configurações de Gerenciamento de Contexto

Principais Funcionalidades

1. Botões de Ferramentas Inteligentes (GUI)

2. Modos de Tarefa

3. Detecção de Padrões de Malware

4. Enumeração Inteligente

5. Gerenciamento de Sessão

Configuração do Backend

Selecionando um Backend

Configuração do PyGhidra

Usando um Projeto Ghidra Existente

Selecionando um Programa

Iniciando um Binário Diretamente

Fluxos de Trabalho Comuns

Analisar um Binário Suspeito

Gerar Relatório de Segurança

Investigar Função Específica

Funcionalidades Avançadas

RAG (Geração Aumentada por Recuperação)

Otimização de Contexto

Registro de LLM

Solução de Problemas

Problemas de Conexão com o Ghidra

Problemas de Conexão com o Ollama

Respostas Vazias / Estouro de Contexto

Desempenho Lento

Visão Geral da Arquitetura

Contribuindo

Citação

Agradecimentos

Licença

Suporte