https://daisuke20240310.hatenablog.com/entry/ghidra1

今回から、リバースエンジニアリングツールである Ghidra を使っていきます。

書籍「リバースエンジニアリングツールGhidra実践ガイド (Compass Booksシリーズ)」を読みながら進めていきます。

また、書籍「マスタリングGhidra ―基礎から学ぶリバースエンジニアリング完全マニュアル」も入手しました。こちらで覚えた内容も追記していきたいと思います。

それでは、やっていきます。

参考文献

作者:中島将太,小竹泰一,原弘明,川畑公平
マイナビ出版

作者:Chris Eagle,Kara Nance
オーム社

はじめに

「セキュリティ」の記事一覧です。良かったら参考にしてください。

セキュリティの記事一覧

まず、書籍「リバースエンジニアリングツールGhidra実践ガイド (Compass Booksシリーズ)」のサポートサイトは以下です。

ここからサンプルプログラムがダウンロードできます。

book.mynavi.jp

今回は、Ghidra の環境を構築していきます。

Ghidraのインストール

Ghidra とは、アメリカ国家安全保障局（NSA：National Security Agency）によって開発されたソフトウェアリバースエンジニアリングのツールです。

よく使われる用途としては、実行プログラム（バイナリ）をディスアセンブル（アセンブラ言語に変換すること）と、デコンパイル（アセンブラ言語から、C言語のような高級言語に変換すること）を行い、実行プログラムの解析を行うことです。他のリバースエンジニアリングツールとして、IDA や、Binary Ninja があります。これらは、無償で使うこともできますが、非常に条件が厳しいです。例えば、IDA の無償版は x86 のプログラムにしか使えません。Binary Ninja の無償版はクラウドを利用しなければならないらしいです。一方、Ghidra はオープンソースなので、全ての機能が無償で利用できるところがメリットです。

まず、以下は、Ghidra の GitHub です。

github.com

インストール方法が書かれています。Ghidra は JDK の環境を準備すれば、あとは、リリースバイナリをダウンロードして、解凍するだけでインストールは完了します。Windows、Linux のどちらも同じ方法でインストールできるので、導入は大変簡単です。

Linuxにインストール

今回は、VirtualBox の Ubuntu 22.04 に Ghidra をインストールしていきます。

まず、JDK 17 64bit をインストールします。

私は既にインストール済みですが、以下で簡単にインストールできます。

$ sudo apt install openjdk-17-jdk

続いて、Ghidra の GitHub の releases から zipファイルをダウンロードします。

github.com

ファイル名は、ghidra_11.0.3_PUBLIC_20240410.zip です。

※2024/8/30：追記

新しい gcc、g++ ビルドしたプログラムは、DWARF v5 が使われていて、Ghidra は、v11.1 から、この DWARF v5 に対応しています。ダウンロードするときは、v11.1 以降を選んだ方がいいです。

解凍します。

$ unzip ghidra_11.0.3_PUBLIC_20240410.zip

解凍したディレクトリの ghidraRun を起動します。

cd ghidra_11.0.3_PUBLIC/
./ghidraRun

起動すると、使用許諾が出るので、問題なければ、I Agree をクリックします。

Ghidra が起動しました。

Windowsにインストール

Windows11 にインストールしていきます。

まずは、JDK をインストールします。JDK 25 が既にリリースされていますが、安定性を考えて、今回は、JDK 21 を選択します。

以下から、JDK 21.0.9 として、Windows の x64 Installer（msi でもいいと思います）をダウンロードします。

www.oracle.com

ダウンロードした exeファイルをダブルクリックします。次をクリックします。

インストール先を指定します。私はデフォルトでいいと思うので、次をクリックします。

JDK のインストールが完了しました。閉じるをクリックします。

続いて、Ghidra の GitHub の releases から zipファイルをダウンロードします。

github.com

ファイル名は、ghidra_12.0_PUBLIC_20251205.zip です。

これを解凍して、ghidraRun.bat をダブルクリックすれば、Ghidra が起動します。

インストールは以上で完了です。

プロジェクトの作成からプログラムの解析まで

プロジェクトの作成

Tip of the Day は閉じておきます。

プロジェクトを作成していきます。

File → New Project... をクリックします。

Non-Shared Project と Shared Project が選択として現れます。Shared Project は、共同で作業するためのプロジェクトで、Ghidra Server というのが必要らしく、通常は、Non-Shared Project を選びます。Nextをクリックします。

次に、プロジェクトの場所と、プロジェクト名を決めます。どちらも任意ですが、プロジェクトの場所とは、複数のプロジェクトが格納される場所なので、新しいディレクトリを作って、そこを指定してください。その下に、今回指定したプロジェクト名のディレクトリが出来ます。指定できたら、Finish をクリックします。

プロジェクトが作られました。

これからプログラムをロードするのですが、構造の分からないプログラムより、以前に作った STM32 のサンプルプログラムを使います。

daisuke20240310.hatenablog.com

プログラムのインポート

STM32 のプログラム（ELFファイル）をインポートします。

File → Import File... をクリックします。

STM32 の ELFファイルを指定すると、確認画面が出ます。

ELFファイルで、32bit の ARM と正しく認識していますので、OKをクリックします。

インポート結果のサマリが出ます。OKをクリックします。

プログラムの解析

続いて、プログラムを解析させます。

Active Project のテキストのアイコンをダブルクリックします。

すると、Code Browser が開き、解析するかどうか聞かれるので、Yes をクリックします。

解析オプションを聞かれるので、デフォルトのままでいいと思います。もしくは、Select All を選択して、Analyze をクリックします。

右下に解析状況が表示されています。解析が完了すると、ソースコードが表示されます。試しに main をクリックすると、デコンパイルされた結果が右のウィンドウに表示されます。

ちなみに、もとの main関数のソースコードは以下になります。

int main(void)
{
  initialise_monitor_handles(); // セミホスティング機能の初期化

  led_init();     // LEDの初期化
  button_init();  // Buttonの初期化
  systick_init(); // SysTickの初期化

  // メインループ
  while (1) {
    time = g_system_time - lap_time;

    switch (state) {
    case WAINTING:
      waiting(); // 開始待ち
      break;
    case RUNNING:
      running(); // ルーレット回転中
      break;
    case STOP_OK:
      stop_ok(); // 停止(成功)
      break;
    case STOP_NG:
    default:
      stop_ng(); // 停止(失敗)
      break;
    }
  }

  // ここには到達しない
  return 0;
}