Ghidra: Navegação e Anotação de Binários

Ghidra é uma ferramenta gratuita e de código aberto de engenharia reversa desenvolvida pela NSA e disponibilizada publicamente em 2019. Ela oferece desmontagem, descompilação, criação de rotinas e análise colaborativa no Linux, macOS e Windows.

Abrindo um binário no Ghidra:

1. Criar um projeto novo
2. Importar arquivo (Arquivo → Importar arquivo)
3. A análise automática é executada — aguarde a conclusão (reconhece funções, cadeias de caracteres e tipos de dados)
4. O CodeBrowser é aberto, exibindo as visualizações da desmontagem e do descompilador

Janelas principais do Ghidra:

• Árvores de programas — seções (.text, .data, .plt)
• Árvore de símbolos — funções, rótulos, importações e exportações
• Listagem — visualização da desmontagem
• Descompilador — reconstrução em pseudocódigo C
• Funções — lista de todas as funções identificadas

Inicie a análise no ponto de entrada do programa ou em main():

• Pressione G para "Ir para" um endereço ou símbolo
• Procure por "main" na árvore de símbolos
• Clique duas vezes em qualquer função para navegar até ela

O descompilador do Ghidra produz pseudocódigo C, que é mais fácil de ler do que a linguagem de montagem. O resultado não será perfeito — os nomes das variáveis são genéricos (param_1, local_10), e o fluxo de controle pode parecer estranho —, mas ele revela a lógica com clareza suficiente para entender o que o código faz.

A anotação melhora a legibilidade:

• Clique com o botão direito em uma variável → Renomear (ou pressione L)
• Clique com o botão direito em uma função → Renomear função
• Adicione comentários com ; (fim da linha) ou no estilo /*...*/

Renomear elementos cria contexto à medida que você entende melhor o binário.

As cadeias de caracteres são inestimáveis para entender a finalidade:

• Janela → Cadeias de caracteres definidas exibe todas as constantes de cadeia
• Clique em uma cadeia para ir até seu uso no código
• Mensagens de erro, caminhos de arquivos, URLs e chaves do registro revelam a funcionalidade

XREFs mostram onde uma função ou variável é chamada ou usada. Pressione X em qualquer símbolo para ver todas as referências. Isso é fundamental para descobrir onde a entrada do usuário entra em uma função ou onde ocorrem verificações de segurança.

O Ghidra tem uma interface de scripts para Python/Java:

Para a análise de software malicioso:

• Identifique técnicas de antianálise (antidepuração e ofuscação de código)
• Encontre funções de comunicação de rede (socket, connect, WinInet)
• Localize funções criptográficas (procure constantes da caixa S do AES: 0x63, 0x7c...)
• Extraia endereços C2 de cadeias descriptografadas

Ghidra versus IDA Pro:

• Ghidra: gratuito, de código aberto, permite scripts e tem um bom descompilador
• IDA Pro: padrão do setor, análise mais rápida, ecossistema de extensões melhor e caro ($$$)
• Para a maioria das tarefas, o Ghidra é totalmente capaz; use o IDA em laboratórios profissionais de análise de software malicioso

Qual recurso do Ghidra mostra todos os locais do binário que chamam ou referenciam uma função ou variável específica?

O Ghidra é uma ferramenta gratuita de engenharia reversa desenvolvida pela NSA, com desmontagem, descompilação e criação de scripts. Fluxos de trabalho principais: carregar o binário, executar a análise automática, navegar até main(), usar o descompilador para entender a lógica, renomear variáveis, usar XREFs para rastrear o fluxo de dados e pesquisar cadeias de caracteres para obter contexto. A anotação amplia a compreensão de forma iterativa. A criação de scripts automatiza tarefas repetitivas de análise.