AI Ghidra Tools

Claude代码的Ghidra插件

全面的逆向工程集成，通过模型上下文协议（MCP）将Ghidra强大的二进制分析功能直接引入Claude代码。

概述

这个插件使Claude能够分析可执行文件、反编译函数、搜索模式、跟踪交叉引用，甚至模拟代码——所有这些都是通过自然语言对话实现的。它将Ghidra的无头分析器与Claude Code连接起来，使逆向工程任务更容易访问和高效。

关键能力

• 二进制分析：导入和分析可执行文件、库和固件
• 反编译：将程序集转换为可读的C伪代码
• 反汇编：查看完整上下文的原始装配说明
• 模式搜索：查找字节序列、字符串和签名
• 参见项：在整个二进制文件中跟踪数据和代码引用
• 控制流：分析基本块和调用图
• 仿真：使用Ghidra的P-code仿真器执行代码
• 标注：添加注释并重命名符号以记录调查结果

需求

• 吉德拉 11.0+（用12.0.2测试）
• python 3.9+
• Java 17+（适用于Ghidra）
• 克劳德代码 命令行界面

安装

1.安装Ghidra

从下载并提取Ghidra 官方发布.

# Example: Extract to ~/ghidra
unzip ghidra_12.0.2_PUBLIC.zip -d ~/

2.设置环境变量

# Add to your shell profile (~/.bashrc, ~/.zshrc, etc.)
export GHIDRA_INSTALL=~/ghidra_12.0.2_PUBLIC

3.安装插件

将插件克隆或复制到您的Claude Code插件目录：

# Clone the repository
git clone https://github.com/your-org/ghidra-claude-plugin.git

# Or copy to plugins directory
cp -r ghidra ~/.claude/plugins/

4.安装Python依赖项

cd ~/.claude/plugins/ghidra
python3 -m venv .venv
source .venv/bin/activate
pip install mcp httpx

5.验证安装

claude -p "analyze /bin/ls and list its functions"

配置

环境变量

MCP服务器配置

插件的 .mcp.json 配置MCP服务器：

{
  "mcpServers": {
    "ghidra-mcp": {
      "command": "python3",
      "args": ["${CLAUDE_PLUGIN_ROOT}/servers/ghidra-mcp/server.py"],
      "env": {
        "GHIDRA_INSTALL": "${GHIDRA_INSTALL}",
        "GHIDRA_WORKSPACE": "${HOME}/.claude/ghidra-workspace"
      }
    }
  }
}

可用工具

分析与导航

反编译和反汇编

搜索和参考

内存和数据

修改和注释

高级

使用示例

基本分析

User: Analyze /bin/ls and show me its main function

Claude: [Calls analyze_binary, then decompile_function]
        Here's the decompiled main function...

发现漏洞

User: Search for strcpy calls in this binary

Claude: [Calls search_strings to find "strcpy", then get_xrefs]
        Found 3 calls to strcpy at addresses...

了解控制流

User: Show me the control flow graph for the authentication function

Claude: [Calls get_basic_blocks]
        The function has 12 basic blocks with the following structure...

图案狩猎

User: Find all instances of the byte pattern "48 89 e5" (mov rbp, rsp)

Claude: [Calls search_bytes]
        Found 47 matches, primarily at function prologues...

加密分析与仿真

User: Emulate the encrypt function with input "test"

Claude: [Calls emulate_function with memory setup]
        After 156 steps, RAX contains 0x7a3b2c1d...

项目结构

ghidra/
├── .claude-plugin/
│   └── plugin.json           # Plugin metadata
├── .mcp.json                  # MCP server configuration
├── servers/
│   └── ghidra-mcp/
│       ├── server.py         # MCP server implementation
│       └── ghidra_bridge.py  # Ghidra headless wrapper
├── ghidra_scripts/           # Jython scripts for Ghidra
│   ├── analyze_binary.py
│   ├── decompile_function.py
│   ├── get_disassembly.py
│   ├── search_bytes.py
│   ├── emulate_function.py
│   └── ... (18 scripts total)
├── commands/                 # Slash commands
│   ├── analyze.md
│   └── decompile.md
├── agents/                   # Specialized agents
│   └── reverse-engineer.md
├── skills/                   # Domain knowledge
│   └── ghidra-scripting/
├── tests/
│   └── test_ghidra_mcp.py   # Pytest test suite
└── README.md

发展

运行测试

cd ~/.claude/plugins/ghidra
source .venv/bin/activate
pip install pytest

# Run read-only tests
pytest -m "not write" -v

# Run all tests (includes write operations)
pytest -v

添加新工具

1. 在中创建Jython脚本 ghidra_scripts/:

# @category Claude.MCP
# @runtime Jython

import json

def output_json(data):
    print("===JSON_START===")
    print(json.dumps(data))
    print("===JSON_END===")

def run():
    # Your implementation
    output_json({"status": "success", "data": result})

run()

1. 在中添加包装器方法 ghidra_bridge.py
2. 在中添加工具定义 server.py
3. 在中添加测试 test_ghidra_mcp.py

调试

通过检查以下内容启用详细输出：

• Ghidra日志： ~/Library/ghidra/ghidra_*/application.log
• 脚本stdout：在bridge的 _parse_json_output

支持的体系结构

该插件支持Ghidra支持的所有架构，包括：

• x86/x86-64（英特尔/AMD）
• ARM/ARM64（AArch64）
• MIPS/MIPS64
• PowerPC
• 学术出版与学术资源联盟
• RISC-V
• 68000（摩托罗拉）
• 8051
• 自动电压调节器
• 20+更多

支持的文件格式

• 可执行文件：ELF、PE/COFF、Mach-O
• 图书馆：.so、.dll、.dylib
• 固件：原始二进制文件、英特尔HEX、摩托罗拉S记录
• 档案：.a、.lib
• 其他：DEX（Android）、Java类文件、PDB符号

故障排除

“Ghidra analyze未找到无头”

确保 GHIDRA_INSTALL 指向您的Ghidra安装：

export GHIDRA_INSTALL=/path/to/ghidra_12.0.2_PUBLIC

“未加载程序”

呼叫 analyze_binary 在使用其他工具之前：

User: List functions in /bin/ls
Claude: I'll first analyze the binary, then list its functions.
        [Calls analyze_binary, then list_functions]

分析速度慢

大型二进制文件可能需要几分钟。使用 timeout 参数：

analyze_binary("/path/to/large_binary", timeout=900)  # 15 minutes

内存问题

通过在您的环境中设置来增加Ghidra的堆大小：

export GHIDRA_HEADLESS_MAXMEM=8G

安全注意事项

• 此插件在二进制文件上执行Ghidra的无头分析器
• 仅分析来自可信来源的二进制文件
• 该插件在以下位置创建项目 ~/.claude/ghidra-workspace/
• 补丁操作修改Ghidra项目，而不是原始二进制文件