Ghidra

Ghidra を使うと、ソースコードのない実行ファイルを開いて、機械語を読みやすい形に戻せます。練習には、自分で書いてコンパイルした小さなプログラムを使うと、答え合わせができて安全です。

この記事は、C などで簡単なプログラムを書いたことがあり、コンパイルした後の姿を見てみたい人に向けています。読み終えると、次のことができるようになります。

• Ghidra をインストールして起動する
• 自分でコンパイルしたプログラムを取り込み、自動解析にかける
• 逆コンパイル結果と元のソースコードを見比べる

##Ghidra でできること

Ghidra は、米国国家安全保障局（NSA）の研究部門が作り、オープンソースで公開しているリバースエンジニアリングの道具一式です。公式 README には、主な機能として逆アセンブル、アセンブル、逆コンパイル、グラフ表示、スクリプトが挙げられています。Windows、macOS、Linux 向けの実行ファイルを扱え、多くの CPU の命令セットとファイル形式に対応しています。

画面から操作するのが基本ですが、コマンドラインから一括で解析するヘッドレスモードもあります。Java や Python で独自のスクリプトや拡張機能を書くこともできます。

##必要なもの

Getting Started（Ghidra 12.2 時点）に書かれている条件は次のとおりです。

##安全な試し方：自分のプログラムを解析する

1. JDK 25（64 ビット）をインストールします。
2. 公式のリリースページの「Assets」から、ghidra_<バージョン>_PUBLIC_<日付>.zip という名前のファイルを入手します。「Source Code」と書かれたファイルは本体ではないので選びません。
3. zip を好きな場所に展開します。インストーラーはなく、管理者権限も要りません。古い版の上に重ねて展開しないでください。
4. 展開したフォルダで、Windows なら ghidraRun.bat、Linux と macOS なら ./ghidraRun を実行します。JDK が見つからないときは、JDK のフォルダの場所を聞かれます。
5. 練習用に、文字列を表示するだけの小さな C プログラムなどを自分で書き、コンパイルしておきます。
6. Ghidra の画面で File>New Project を選び、プロジェクトを作ります。
7. File>Import File… でコンパイルしたファイルを取り込みます。ファイル形式は、たいてい初期値のままで構いません。
8. 取り込んだファイルを開くと CodeBrowser という画面が立ち上がり、自動解析をするか聞かれます。そのまま解析させます。
9. Symbol Tree の関数の一覧から main などを選ぶと、Decompiler の画面に C 言語風の結果が出ます。元のソースと見比べてみましょう。

慣れてきたら、CTF の練習問題など、解析してよいと明記された教材に進むとよいでしょう。

##主な画面と機能

CodeBrowser は、初期状態で次の画面を並べて表示します。

自動解析は、後から Analysis>Auto Analyze でもやり直せます。プログラムに埋め込まれた文字列を探す機能もあり、どこでメッセージを表示しているかを手がかりに読み進められます。

##注意点

##次に読む

• cd ../mobsfMobSF自作のスマートフォンアプリを点検するツール
• cat ~/guides/lab-setup.md安全な検証環境の作り方