🔍 逆向工程工具对比：IDA vs Ghidra
<p class="subtitle">Ghidra 详细使用手册 | 2026-03-19</p>
<div class="info">
<div class="info-title">📋 目录</div>
<ul>
<li><a href="#背景" style="color:#60a5fa;">背景：什么是逆向工程？</a></li>
<li><a href="#ida-vs-ghidra" style="color:#60a5fa;">IDA vs Ghidra 全面对比</a></li>
<li><a href="#ghidra下载" style="color:#60a5fa;">Ghidra 下载与安装</a></li>
<li><a href="#ghidra界面" style="color:#60a5fa;">Ghidra 界面详解</a></li>
<li><a href="#ghidra使用流程" style="color:#60a5fa;">Ghidra 使用流程（详解）</a></li>
<li><a href="#ghidra修改文件" style="color:#60a5fa;">如何修改二进制文件</a></li>
<li><a href="#ghidra脚本" style="color:#60a5fa;">Ghidra 脚本开发</a></li>
<li><a href="#总结" style="color:#60a5fa;">总结</a></li>
</ul>
</div>
<h2 id="背景">🔍 背景：什么是逆向工程？</h2>
<div class="section">
<p><strong>逆向工程</strong>（Reverse Engineering）是指在没有源代码的情况下，通过分析二进制文件来理解程序的结构、功能和行为的过程。</p>
<p>你可以把二进制文件理解为一本用加密语言写的书，逆向工程就是破解这本加密书的内容。</p>
</div>
<h2 id="ida-vs-ghidra">⚔️ IDA vs Ghidra 全面对比</h2>
<table>
<tr>
<th>特性</th>
<th>IDA Pro</th>
<th>Ghidra</th>
</tr>
<tr>
<td>价格</td>
<td>商业付费 ($589+)</td>
<td>免费开源</td>
</tr>
<tr>
<td>反编译引擎</td>
<td>Hex-Rays (业界最佳)</td>
<td>内置 (持续改进)</td>
</tr>
<tr>
<td>多架构支持</td>
<td>80+ 处理器</td>
<td>70+ 处理器</td>
</tr>
<tr>
<td>脚本支持</td>
<td>Python/IDC</td>
<td>Python/Java</td>
</tr>
<tr>
<td>协作功能</td>
<td>IDA Collab</td>
<td>版本控制/Patch追踪</td>
</tr>
</table>
<div class="info">
<div class="info-title">💡 选择建议</div>
<p><strong>学习/个人使用</strong> → 推荐 Ghidra（免费且功能完整）<br>
<strong>企业/商业项目</strong> → 推荐 IDA Pro（稳定、有技术支持）</p>
</div>
<h2 id="ghidra下载">📥 Ghidra 下载与安装</h2>
<div class="section">
<h3>Step 1：下载 Ghidra</h3>
<p>访问 Ghidra 官网：<a href="https://ghidra-sre.org/" style="color:#60a5fa;">https://ghidra-sre.org/</a></p>
<p>点击 "Download Ghidra" 按钮，下载 zip 文件（约 400MB）。</p>
</div>
<div class="section">
<h3>Step 2：检查 Java 环境</h3>
<p>Ghidra 基于 Java 开发，需要 JDK 17 或更高版本：</p>
<pre><code># 检查 Java 版本
java -version
如果没有，安装 JDK
Windows: 下载 JDK 安装包
Linux: sudo apt install openjdk-17-jdk
macOS: brew install openjdk@17
</div>
<div class="section">
<h3>Step 3：解压并运行</h3>
<pre><code># 解压到任意目录（注意：路径不要有中文和空格）
unzip ghidra_XX_YYYYMMDD.zip -d ~/tools/
运行 Ghidra
Windows:
cd ~/tools/ghidra_XX_YYYYMMDD/support/
./ghidraRun.bat
Linux/macOS:
cd ~/tools/ghidra_XX_YYYYMMDD/support/
./ghidraRun
<div class="warning">
<div class="warning-title">⚠️ 常见问题</div>
<ul>
<li><strong>路径有中文</strong>：Ghidra 对中文路径支持不好，会导致加载失败</li>
<li><strong>内存不足</strong>：大型二进制文件建议分配 8GB+ 内存</li>
</ul>
</div>
<h2 id="ghidra界面">🖥️ Ghidra 界面详解</h2>
<div class="section">
<h3>1. Project Window（项目窗口）</h3>
<p><strong>作用</strong>：管理所有导入的二进制文件，类似文件浏览器。</p>
<p>你可以创建多个项目，每个项目可以包含多个二进制文件。</p>
</div>
<div class="section">
<h3>2. Listing Window（反汇编窗口）</h3>
<p><strong>作用</strong>：显示程序的机器码和汇编指令。</p>
<p>这是你看到二进制文件"原始面貌"的地方，每一行是一条指令或数据。</p>
<ul>
<li>地址（最左边）</li>
<li>机器码字节（如 <code>48 8B 45 F0</code>）</li>
<li>汇编指令（如 <code>MOV RAX, [RBP-0x10]</code>）</li>
</ul>
</div>
<div class="section">
<h3>3. Decompiler Window（反编译窗口）</h3>
<p><strong>作用</strong>：将汇编代码翻译成类似 C 语言的伪代码。</p>
<p>这是 Ghidra 的核心功能之一，它尝试理解汇编指令的含义，并用人能理解的方式表达出来。</p>
</div>
<div class="section">
<h3>4. Symbol Tree（符号树）</h3>
<p><strong>作用</strong>：显示程序中的所有符号（函数、变量、类等）。</p>
<p>Ghidra 会尝试从二进制中恢复出这些符号信息。</p>
</div>
<h2 id="ghidra使用流程">🚀 Ghidra 使用流程（详解）</h2>
<div class="section">
<h3>Step 1：创建或打开项目</h3>
<p><strong>为什么要创建项目？</strong> Ghidra 需要保存分析结果、书签、自定义注释等信息，这些都存在项目文件中。</p>
<pre><code># 方式1：新建项目
File → New Project → 选择 "Non-Shared Project" → 设置项目名称和保存位置
方式2：打开已有项目
File → Open → 选择 .gpr 项目文件
项目类型说明：
- Non-Shared Project：本地项目，个人使用
- Shared Project：共享项目，可以导入到 Git 等版本控制
<div class="section">
<h3>Step 2：导入二进制文件</h3>
<p><strong>为什么要导入？</strong> Ghidra 需要先把二进制文件加载到内存中进行分析，就像打开一本书一样。</p>
<pre><code># 操作步骤
- 在 Project 窗口，点击 "Import File" 按钮
- 选择要分析的二进制文件（.exe, .dll, .bin, .elf 等）
- Ghidra 会自动识别文件类型
- 选择处理器架构（通常自动识别）
- 点击 "OK" 开始导入
💡 自动识别机制
Ghidra 根据文件头（Magic Number）识别文件类型。例如：
7F 45 4C 46→ ELF 文件（Linux 可执行文件）4D 5A→ PE 文件（Windows 可执行文件）CA FE BA BE→ Java CLASS 文件
<div class="section"> <h3>Step 3：等待自动分析</h3> <p><strong>这一步在做什么？</strong> Ghidra 会对二进制文件进行多轮自动分析，识别函数、构建调用图、提取字符串等。</p> <pre><code># Ghidra 自动分析的内容：- 函数识别 (Function ID) - 找到所有函数入口
- 调用图构建 (Call Graph) - 搞清楚函数之间的关系
- 字符串提取 (Strings) - 找到程序中的字符串常量
- 数据结构识别 (Data Types) - 尝试识别数据结构
- 控制流分析 (Control Flow) - 理解程序的执行流程
-
引用分析 (References) - 找到数据/代码之间的引用关系
⏱️ 等待时间
大型文件（几十MB以上）可能需要几分钟到几十分钟不等。Ghidra 窗口底部有进度条。
Step 4：浏览代码
如何导航？ 学会导航是高效分析的关键。
# 基本导航操作
- 双击函数名 → 跳转到函数定义
- 双击变量名 → 跳转到变量定义
- Ctrl+G → 跳转到指定地址
- Alt+←/→ → 后退/前进（类似浏览器）
- ; (分号) → 添加注释
查找功能
- Ctrl+F → 在当前窗口搜索
- Search → For Strings → 搜索字符串
- Search → For Instructions → 搜索指令模式
<div class="section"> <h3>Step 5：使用反编译器理解逻辑</h3> <p><strong>反编译器是做什么的？</strong> 汇编语言对人来说很难理解，反编译器把汇编指令"翻译"成类似 C 语言的伪代码。</p> <pre><code># 打开反编译窗口- 在 Listing 窗口选择一个函数
- 按 Tab 键 → 打开/切换到反编译窗口
- 反编译窗口显示该函数的伪代码
反编译窗口能做什么
- 看到类似 C 语言的代码逻辑
- 给变量重命名（更易理解）
- 添加注释
- 直接看到条件判断、循环等结构
💡 实战技巧
同时打开 Listing（汇编）和 Decompiler（伪代码）两个窗口，用 Tab 键切换对应位置，方便对照理解。
<div class="section"> <h3>Step 6：添加书签和注释</h3> <p><strong>为什么要添加书签？</strong> 固件分析通常需要几天甚至几周，添加书签和注释帮助记忆和回顾。</p> <pre><code># 添加书签- 选中一行 → 右键 → Bookmarks → Create Bookmark
- 给书签起个有意义的名字，如 "校验函数"、"加密入口"
添加注释
- ; (分号) → 在汇编行添加注释
- 按 F2 → 锁定/解锁编辑
- 在反编译窗口直接添加注释
<h2 id="ghidra修改文件">✏️ 如何修改二进制文件</h2> <div class="warning"> <div class="warning-title">⚠️ 重要前提</div> <p><strong>Ghidra 反编译的 C 代码不能直接编译回去！</strong>反编译是"伪代码"（pseudocode），是 Ghidra 重建出来的，不是原始代码。</p> </div> <div class="section"> <h3>修改的两种方式</h3> <table> <tr> <th>方式</th> <th>说明</th> <th>适用场景</th> </tr> <tr> <td>Patch 机器码</td> <td>直接修改二进制字节</td> <td>小改、字节级修改</td> </tr> <tr> <td>Ghidra Script</td> <td>编写脚本批量修改</td> <td>自动化修改、复杂逻辑</td> </tr> <tr> <td>理解后重写</td> <td>理解逻辑后自己写代码</td> <td>需要大改或完全重写</td> </tr> </table> </div> <div class="section"> <h3>方式一：直接 Patch 机器码</h3> <p><strong>原理</strong>：二进制文件是由字节组成的，修改字节就相当于修改程序。</p> <pre><code># 具体步骤- 在 Listing 窗口，选择要修改的指令
- 按 E 键（或右键 → Edit）
- Ghidra 显示该指令的机器码
- 修改机器码（如把 74 改成 75，JE 改成 JNE）
- 按 Enter 确认
示例：修改跳转条件
- 原指令：74 0A （JE SHORT xxx）如果等于则跳转
- 修改为：75 0A （JNE SHORT xxx）如果不等则跳转
- 效果：把"等于时跳转"改成"不等于时跳转"
<div class="section"> <h3>方式二：Patch 字节</h3> <p><strong>原理</strong>：有时候不需要改指令，只改某个字节的值。</p> <pre><code># 具体步骤- 在 Listing 窗口，选择要修改的字节
- 按 P 键（或右键 → Patch Instruction）
- 输入新的字节值
- 按 Enter 确认
示例：修改内存中的常量
- 原字节：3C （0x3C，是数值 60）
- 修改为：00 （数值 0）
- 效果：修改程序中某个常量值
<div class="section"> <h3>方式三：导出修改后的文件</h3> <p><strong>重要</strong>：在 Ghidra 中修改后，必须导出才能生效。</p> <pre><code># 导出步骤- File → Export
- 选择输出格式：
- Binary (.bin)：纯二进制文件
- ELF (.elf)：Linux 可执行文件
- PE (.exe)：Windows 可执行文件
- .hex：十六进制文件
- 选择保存路径
-
点击 OK 导出
实战案例：固件修改
场景：你分析了一个固件校验函数，想跳过校验直接运行。
1. 用 Ghidra 分析找到校验函数入口（如 0x08003684）
2. 分析校验逻辑（在"相关问题"中提到的 XOR 校验）
3. 找到关键跳转指令（如 JNE 表示校验失败跳转）
4. 在 Ghidra 中：
- 选中跳转指令
- 按 E 键
- 把 75 改成 74（JNE → JE）
5. 导出修改后的固件
6. 刷入设备测试
📜 Ghidra 脚本开发
为什么要写脚本？
当需要重复做某件事时，脚本可以自动化这个过程。例如：
- 批量重命名函数
- 自动查找加密常量
- 批量 Patch 多个位置
- 提取特定数据
打开脚本管理器
# 菜单路径
Window → Script Manager（或按 Ctrl+Shift+S）
脚本管理器功能
- 查看所有可用脚本
- 创建新脚本
- 编辑现有脚本
- 运行脚本
<div class="section"> <h3>Python 脚本示例：查找所有函数</h3> <pre><code># 在脚本管理器中新建 Python 脚本输入以下代码：
import json
获取所有函数
functionManager = currentProgram.getFunctionManager()
functions = functionManager.getFunctions(True)
打印函数列表
print("=" * 60)
print("所有函数列表：")
print("=" * 60)
for func in functions:
name = func.getName()
entry = func.getEntryPoint()
print("{} @ {}".format(name, entry))
print("=" * 60)
print("共找到 {} 个函数".format(len(list(functions))))
<div class="section">
<h3>Java 脚本示例：批量 Patch</h3>
<pre><code>// Java 脚本示例：将指定地址的字节改为 NOP
import ghidra.app.script.GhidraScript;
public class NopPatch extends GhidraScript {
@Override
public void run() throws Exception {
// 要 NOP 的地址列表
String[] addresses = {
"0x08001000",
"0x08001010",
"0x08001020"
};
// NOP 指令的机器码（x86）
byte[] nop = new byte[]{0x90};
for (String addrStr : addresses) {
Address addr = toAddr(addrStr);
println("NOPing: " + addr);
setBytes(addr, nop);
}
println("Patch 完成！");
}
}
<h2 id="总结">📝 总结</h2>
<div class="section">
<h3>Ghidra 工作流回顾</h3>
<pre><code>1. 创建/打开项目 → 保存分析进度
- 导入二进制文件 → 加载到内存
- 等待自动分析 → 让 Ghidra 理解代码结构
- 浏览代码 + 反编译 → 理解程序逻辑
- 添加书签注释 → 记录重要发现
- 修改（如需） → Patch 机器码
- 导出 → 生成修改后的文件
<div class="success"> <div class="success-title">✅ Ghidra 适合场景</div> <ul> <li>学习逆向工程</li> <li>固件分析（STM32、nRF52 等 MCU）</li> <li>恶意软件分析</li> <li>协议分析</li> <li>安全审计</li> </ul> </div> <div class="warning"> <div class="warning-title">⚠️ 局限性</div> <ul> <li>反编译的代码不能直接编译回去</li> <li>复杂的代码反编译质量不如 Hex-Rays</li> <li>需要结合汇编知识一起分析</li> </ul> </div>