Ghidrecomp - декомпилятор Ghidra из командной строки

О проекте

Этот инструмент командной строки на Python декомпилирует все функции бинарного файла и сохраняет их в каталог в виде отдельных C-файлов:```mermaid flowchart LR

a(filename ) --> b[ghidrecomp] a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files) b --> output

subgraph output

subgraph decompilations direction LR i(func1.c) h(func2.c) f(funcB.c) end

subgraph callgraphs direction LR j(callgraph1.md) k(callgraph2.md) l(callgraphN.md) end

subgraph bsim-xml direction LR n(sig-md5-bin1.xml) m(sig-md5-bin2.xml) o(sig-md5-binN.xml) end

end

Или один файл `C` и заголовочный файл с `--cppexport`:```mermaid
flowchart LR

a(filename ) --> b[ghidrecomp]
a2[(Symbol Server)] --> b

b --> e(Ghidra Project Files)

b --> singlefile 


subgraph singlefile
  direction LR
  s1(all_funcs.c)
  s2(all_funcs.h)
end

Основная цель этого — использовать декомпиляции для исследований и анализа. Инструмент полагается на Ghidra для декомпиляции и взаимодействует с Ghidra через jpype посредством pyghidra.

TOC

• Ghidrecomp - Command Line Ghidra Decompiler
  • About
  • TOC
  • Features
  • Usage
  • Output Files Tree
  • Example Usage with Windows afd.sys:
    • Command line
    • Output
    • Decompilation Output Dir
  • Example usage in Docker container
    • Command (Host)
    • Run in docker on /bin/ls
      • Output
    • Decompilation Output Dir
  • Example Usage with Windows afd.sys Callgraph:
    • Command line
    • Output
    • Sample Calling Callgraph Output AfdRestartDgConnect:
    • Sample MindMap Output for AfdRestartDgConnect
  • Example SAST Scanning
    • Command line with multiple rule files
    • Command line with custom rule directory
    • Command line with comma-separated rules (backward compatible)
    • Output
    • SAST Output Files
  • Example BSim signature generation
    • Command line
    • Output
    • Files generated
  • Installation
    • Optional SAST dependencies
    • Windows
    • Linux / Mac
    • Devcontainer / Docker
      • Option 1 - Devcontainer
      • Option 2 - Docker

Features

все эти функции в конечном итоге предоставляются Ghidra

• Декомпиляция всех функций (многопоточная)
  • в каталог (-o OUTPUT_PATH)
  • в один файл .c и заголовочный файл (--cppexport)
• Автоматически загружаемые символы для поддерживаемых символьных серверов (-s SYMBOLS_PATH)
  • https://msdl.microsoft.com/download/symbols/
  • https://chromium-browser-symsrv.commondatastorage.googleapis.com/
  • https://symbols.mozilla.org/
  • https://software.intel.com/sites/downloads/symbols/
  • https://driver-symbols.nvidia.com/
  • https://download.amd.com/dir/bin/
• Указать PDB для бинарного файла (--sym-file-path)
• Фильтровать функции для декомпиляции по регулярному выражению (--filter)
• Применять пользовательские типы данных (--gdt)
• SAST-сканирование (--sast) с помощью Semgrep для статического анализа декомпилированного кода
  • Поддержка нескольких файлов/каталогов правил
  • Вывод SARIF для интеграции с инструментами безопасности
  • Предварительная обработка специфичных для Ghidra соглашений о вызовах