Ghidra: Binärdateien navigieren und annotieren

Ghidra ist ein kostenloses Open-Source-Tool für Reverse Engineering, das von der NSA entwickelt und 2019 öffentlich veröffentlicht wurde. Es unterstützt Disassemblierung, Dekompilierung, Skripting und die gemeinsame Analyse unter Linux, macOS und Windows.

Ein Binärprogramm in Ghidra öffnen:

1. Neues Projekt erstellen
2. Datei importieren (File → Import File)
3. Die automatische Analyse läuft – lassen Sie sie vollständig abschließen (erkennt Funktionen, Strings und Datentypen)
4. CodeBrowser wird geöffnet und zeigt Disassembly- und Decompiler-Ansichten

Wichtige Ghidra-Fenster:

• Program Trees — Abschnitte (.text, .data, .plt)
• Symbol Tree — Funktionen, Labels, Importe und Exporte
• Listing — Disassembly-Ansicht
• Decompiler — Pseudo-C-Rekonstruktion
• Functions — Liste aller identifizierten Funktionen

Beginnen Sie die Analyse am Programmeinstiegspunkt oder bei main():

• Drücken Sie G, um mit „Go To“ zu einer Adresse oder einem Symbol zu springen
• Suchen Sie im Symbol Tree nach „main“
• Doppelklicken Sie auf eine beliebige Funktion, um zu ihr zu navigieren

Der Decompiler von Ghidra erzeugt Pseudo-C-Code, der leichter zu lesen ist als Assembly. Die Ausgabe ist nicht perfekt — Variablennamen sind generisch (param_1, local_10), und der Kontrollfluss kann ungewöhnlich aussehen — aber sie macht die Logik verständlich genug, um zu erkennen, was der Code tut.

Annotationen verbessern die Lesbarkeit:

• Rechtsklicken Sie auf eine Variable → Rename (oder drücken Sie L)
• Rechtsklicken Sie auf eine Funktion → Rename Function
• Fügen Sie Kommentare mit ; (Zeilenende) oder im Stil /*...*/ hinzu

Durch das Umbenennen bauen Sie schrittweise Kontext auf, während Sie mehr über das Binärprogramm verstehen.

Strings sind für das Verständnis des Zwecks äußerst wertvoll:

• Window → Defined Strings zeigt alle String-Konstanten an
• Klicken Sie auf einen String, um zu seiner Verwendung im Code zu springen
• Fehlermeldungen, Dateipfade, URLs und Registry-Schlüssel geben Aufschluss über die Funktionalität

XREFs zeigen, wo eine Funktion oder Variable aufgerufen bzw. verwendet wird. Drücken Sie bei einem beliebigen Symbol X, um alle Verweise anzuzeigen. Das ist entscheidend, um herauszufinden, wo Benutzereingaben in eine Funktion gelangen oder Sicherheitsprüfungen stattfinden.

Ghidra verfügt über eine Python-/Java-Scripting-API:

Für die Malware-Analyse:

• Identifizieren Sie Anti-Analyse-Tricks (Anti-Debugging, Code-Obfuskation)
• Finden Sie Funktionen für die Netzwerkkommunikation (socket, connect, WinInet)
• Lokalisieren Sie Kryptofunktionen (achten Sie auf AES-S-Box-Konstanten: 0x63, 0x7c...)
• Extrahieren Sie C2-URLs aus entschlüsselten Strings

Ghidra im Vergleich zu IDA Pro:

• Ghidra: kostenlos, Open Source, skriptfähig, guter Decompiler
• IDA Pro: Branchenstandard, schnellere Analyse, besseres Plugin-Ökosystem, teuer ($$$)
• Für die meisten Aufgaben ist Ghidra vollständig ausreichend; IDA eignet sich für professionelle Malware-Analyse-Labs

Welche Ghidra-Funktion zeigt alle Stellen im Binärprogramm, an denen eine bestimmte Funktion oder Variable aufgerufen bzw. referenziert wird?

Ghidra ist ein von der NSA entwickeltes, kostenloses RE-Tool mit Disassembly, Decompilierung und Skripting. Wichtige Arbeitsabläufe: Binärprogramm laden, automatische Analyse ausführen, zu main() navigieren, den Decompiler für die Logik verwenden, Variablen umbenennen, mit XREFs den Datenfluss nachverfolgen und Strings als Kontext durchsuchen. Annotationen bauen das Verständnis schrittweise auf. Skripting automatisiert sich wiederholende Analyseaufgaben.