Ghidra: navegación y anotación de binarios

Ghidra es una herramienta gratuita y de código abierto de ingeniería inversa desarrollada por la NSA y publicada en 2019. Admite desensamblado, descompilación, scripting y análisis colaborativo en Linux, macOS y Windows.

Para abrir un binario en Ghidra:

1. Crear un proyecto nuevo
2. Importar el archivo (Archivo → Importar archivo)
3. Se ejecuta el autoanálisis; deje que termine (reconoce funciones, cadenas y tipos de datos)
4. Se abre CodeBrowser, que muestra las vistas de desensamblado y del decompilador

Ventanas principales de Ghidra:

• Árboles de programas — secciones (.text, .data, .plt)
• Árbol de símbolos — funciones, etiquetas, importaciones y exportaciones
• Listado — vista de desensamblado
• Decompilador — reconstrucción en pseudo-C
• Funciones — lista de todas las funciones identificadas

Inicie el análisis en el punto de entrada del programa o en main():

• Presione G para usar Ir a y acceder a una dirección o un símbolo
• Busque «main» en el árbol de símbolos
• Haga doble clic en cualquier función para navegar hasta ella

El decompilador de Ghidra produce pseudo-C, que es más fácil de leer que el ensamblador. No será perfecto: los nombres de las variables son genéricos (param_1, local_10) y el flujo de control puede parecer extraño, pero revela la lógica con suficiente claridad para comprender qué hace el código.

Las anotaciones mejoran la legibilidad:

• Haga clic con el botón derecho en una variable → Renombrar (o presione L)
• Haga clic con el botón derecho en una función → Renombrar función
• Añada comentarios con ; (al final de línea) o con el estilo /*...*/

Renombrar elementos ayuda a construir el contexto a medida que comprende mejor el binario.

Las cadenas son invaluables para comprender el propósito del programa:

• Ventana → Cadenas definidas muestra todas las constantes de cadena
• Haga clic en una cadena para saltar a su uso en el código
• Los mensajes de error, las rutas de archivos, las URL y las claves del registro revelan la funcionalidad

Las XREFs muestran dónde se llama a una función o dónde se utiliza una variable. Presione X sobre cualquier símbolo para ver todas sus referencias. Esto es fundamental para encontrar dónde entra la entrada del usuario en una función o dónde se realizan comprobaciones de seguridad.

Ghidra dispone de una API de scripting para Python y Java:

Para analizar malware:

• Identifique técnicas antianálisis (antidepuración y ofuscación del código)
• Busque funciones de comunicación de red (socket, connect, WinInet)
• Localice funciones criptográficas (busque las constantes de la S-box de AES: 0x63, 0x7c...)
• Extraiga las URL de C2 de las cadenas descifradas

Ghidra frente a IDA Pro:

• Ghidra: gratuito, de código abierto, admite scripts y tiene un buen decompilador
• IDA Pro: estándar del sector, análisis más rápido, mejor ecosistema de plugins y caro ($$$)
• Para la mayoría de las tareas, Ghidra es totalmente capaz; IDA se utiliza en laboratorios profesionales de análisis de malware

¿Qué función de Ghidra muestra todas las ubicaciones del binario que llaman a una función específica o hacen referencia a una variable específica?

Ghidra es una herramienta gratuita de ingeniería inversa desarrollada por la NSA, con capacidades de desensamblado, decompilación y scripting. Flujos de trabajo clave: cargar el binario, ejecutar el autoanálisis, navegar hasta main(), usar el decompilador para comprender la lógica, renombrar variables, usar XREFs para rastrear el flujo de datos y buscar cadenas para obtener contexto. Las anotaciones ayudan a construir la comprensión de forma iterativa. El scripting automatiza las tareas de análisis repetitivas.