Ghidrathon 项目教程

35 0 0

Ghidrathon 项目教程

GhidrathonThe FLARE team’s open-source extension to add Python 3 scripting to Ghidra.项目地址:https://gitcode.com/gh_mirrors/gh/Ghidrathon

项目介绍

Ghidrathon 是一个由 Mandiant 的 FLARE 团队开发的开放源代码扩展，旨在为 Ghidra 添加 Python 3 脚本功能。Ghidra 原生支持 Java 和 Jython 脚本，但由于许多开源分析工具（如 capa、Unicorn Engine、angr 等）是用 Python 3 编写的，Ghidrathon 的开发填补了这一空白，使得这些工具可以直接在 Ghidra 中使用。

项目快速启动

安装 Ghidrathon

下载并解压最新版本的 Ghidrathon
- 从 Ghidrathon GitHub 发布页面下载最新版本并解压。
安装依赖
- 使用你希望与 Ghidrathon 一起使用的 Python 解释器执行以下命令（requirements.txt 和 ghidrathon_configure.py 包含在发布中）：
```
python -m pip install -r requirements.txt
python ghidrathon_configure.py <absolute_path_to_ghidra_install_dir>
```

配置 Ghidra

确保你的 Ghidra 版本 >= 10.3.2，并且 Java 版本 >= 17.0.0。
将 Ghidrathon 解压到 Ghidra 的 Extensions 目录中，并重启 Ghidra。

应用案例和最佳实践

使用第三方 Python 模块

Ghidrathon 允许你在 Ghidra 中使用第三方 Python 模块。例如，你可以安装并使用 Unicorn 来模拟 ARM 代码：

安装 Unicorn
```
pip install unicorn
```
在 Ghidra 中使用 Unicorn
- 在 Ghidra 的 Python 脚本中导入并使用 Unicorn：
```
from unicorn import *
from unicorn.arm_const import *
```

编写 Ghidra Python 3 脚本

Ghidrathon 提供了与 Ghidra 的 Java 和 Jython 扩展类似的脚本体验，包括访问 GhidraScript 状态实例变量（如 currentProgram）和 FlatProgramAPI 方法（如 findBytes）：


from ghidra.program.model.address import Address
 
def find_bytes(pattern):
    current_program = state.getCurrentProgram()
    address_set = current_program.getAddressFactory().getAddressSet()
    return current_program.getMemory().findBytes(address_set.getMinAddress(), pattern)

典型生态项目

capa

capa 是一个用于分析可执行文件以识别其功能的开源工具。通过 Ghidrathon，你可以在 Ghidra 中直接使用 capa 进行分析：

安装 capa
```
pip install flare-capa
```
在 Ghidra 中使用 capa
- 编写一个 Ghidra Python 脚本来调用 capa：
```
import capa.main
```

Unicorn Engine

Unicorn Engine 是一个多平台、多架构的 CPU 仿真框架。通过 Ghidrathon，你可以在 Ghidra 中使用 Unicorn 进行代码仿真：

安装 Unicorn Engine
```
pip install unicorn
```
在 Ghidra 中使用 Unicorn Engine
- 编写一个 Ghidra Python 脚本来使用 Unicorn：
```
from unicorn import *
from unicorn.arm_const import *
```