Ghidra：浏览与注释二进制程序

Ghidra 是由 NSA 开发、于 2019 年公开发布的免费开源逆向工程工具。它支持反汇编、反编译、脚本编写以及在 Linux、macOS 和 Windows 上进行协作分析。

在 Ghidra 中打开二进制文件：

1. 创建新项目
2. 导入文件（文件 → 导入文件）
3. 运行自动分析 — 请等待其完成（识别函数、字符串和数据类型）
4. CodeBrowser 打开，显示反汇编视图和反编译器视图

Ghidra 的主要窗口：

• 程序树 — 各个节（.text、.data、.plt）
• 符号树 — 函数、标签、导入项和导出项
• 列表 — 反汇编视图
• 反编译器 — 伪 C 代码重建结果
• 函数 — 所有已识别函数的列表

从程序入口点或 main() 开始分析：

• 按 G 执行“转到”，跳转到某个地址或符号
• 在符号树中搜索“main”
• 双击任意函数即可导航到该函数

Ghidra 的反编译器会生成伪 C 代码，比汇编更易于阅读。结果不会完全准确 — 变量名通常是通用名称（param_1、local_10），控制流也可能看起来不太自然 — 但它能够清晰地揭示程序逻辑，使您足以理解代码的作用。

添加注释可以提高可读性：

• 右键单击变量 → 重命名（或按 L）
• 右键单击函数 → 重命名函数
• 使用 ;（行尾注释）或 /*...*/ 样式添加注释

随着您对二进制文件的理解不断加深，重命名会逐步建立上下文。

字符串对于理解程序用途非常有价值：

• 窗口 → 已定义字符串会显示所有字符串常量
• 单击字符串即可跳转到代码中使用该字符串的位置
• 错误消息、文件路径、URL 和注册表项都能揭示程序功能

交叉引用显示某个函数或变量在何处被调用或使用。在任意符号上按 X 可以查看所有引用。这对于查找用户输入进入函数的位置，或定位安全检查发生的位置至关重要。

Ghidra 提供 Python/Java 脚本应用程序编程接口：

进行恶意软件分析时：

• 识别反分析技巧（反调试、代码混淆）
• 查找网络通信函数（套接字、连接、WinInet）
• 定位加密函数（查找 AES S 盒常量：0x63、0x7c……）
• 从解密后的字符串中提取 C2 URL

Ghidra 与 IDA Pro：

• Ghidra：免费、开源、支持脚本编写，并且反编译器性能良好
• IDA Pro：行业标准，分析速度更快，插件生态更完善，但价格昂贵（$$$）
• 对于大多数任务，Ghidra 已经完全够用；专业恶意软件分析实验室则可使用 IDA

Ghidra 的哪个功能可以显示二进制文件中调用或引用特定函数或变量的所有位置？

Ghidra 是 NSA 开发的免费逆向工程工具，提供反汇编、反编译和脚本编写功能。主要工作流程包括：加载二进制文件、运行自动分析、导航到 main()、使用反编译器理解逻辑、重命名变量，以及使用交叉引用追踪数据流并搜索字符串来获取上下文。通过不断添加注释，可以逐步加深理解。脚本可以自动执行重复的分析任务。