Engenharia Reversa com Ghidra

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

1. NOW: Leia ../field-journal/precedent-reverse.md
2. NOW: Confirme a necessidade de Ghidra (sem IDA / preferência por código aberto / em lote sem interface gráfica)
3. NEXT: Leia ../tool-index.md para verificar o caminho do ghidra / ghidra-mcp
4. NEXT: Ferramentas em falta → bootstrap ghidra-mcp (se o manifest suportar) ou instale o Ghidra seguindo os passos manuais
5. ACT: Importe a amostra → analise automaticamente → exporte a descompilação de funções críticas

Cenários de Aplicação

• Entrada principal de engenharia reversa quando não há licença IDA
• Análise em lote sem interface gráfica / descompilação em CI
• Automação com scripts Ghidra (Java/Python Jython/PyGhidra)
• Interação com ghidriff de binary-diff / patch-diff-exploit

Divisão de Tarefas com IDA

Fluxo de Trabalho

1. Projeto e Análise Automática

□ 新建 Project → Import 文件 → Analyze（默认分析器）
□ 记录语言/编译器识别结果与基址
□ 标记入口、导出表、字符串 xref

2. Funções Críticas

□ 从字符串 / 导入 API 反查
□ Decompile 窗口还原算法
□ 重命名函数/变量；写 Plate comment
□ 需要动态时交接 Frida/GDB（reverse-engineering 动态章）

3. Sem Interface Gráfica (em lote)

# 示例：analyzeHeadless 路径因安装而异，MUST 从 tool-index 取
analyzeHeadless /path/to/project Proj -import sample.bin -postScript ExportDecomp.py

4. MCP (se configurado)

□ 确认 ghidra MCP 端口（常见 8765，以 tool-index 为准）
□ 用 MCP 工具拉反编译 / xrefs，禁止猜端口

Cadeia de Ferramentas

Referências

• references/ghidra-cheatsheet.md
• ../ida-reverse/ ../radare2/ ../binary-diff/

Contexto de Roteamento

Upstream: MASTER R22
Downstream: Verificação dinâmica → Frida/GDB; Exploração → pwn-chain
Peer: ida-reverse (aprofundamento comercial)

Autoverificação de Conclusão de Tarefa

• O caminho real do Ghidra/tool-index foi usado?
• Os endereços das funções foram anotados e renomeados?
• Existem passos reproduzíveis?
• Checklist / diário?