🔬 Ghidra 실무 스터디 가이드

1. Ghidra란?

Ghidra는 미국 국가안보국(NSA)이 개발한 오픈소스 역공학 프레임워크입니다. 바이너리 분석, 디컴파일, 디스어셈블, 스크립팅을 하나의 통합 환경에서 제공하며, 대규모 멀웨어 분석, 취약점 연구, 포렌식에 널리 사용됩니다.

2. 왜 써야 하는가?

IDA Pro, Radare2, Binary Ninja 등 다양한 도구와의 비교를 통해 Ghidra의 실무 우위를 확인합니다.

3. 핵심 개념

Ghidra 내부 아키텍처와 데이터 흐름을 이해하는 것이 실무 적응의 첫걸음입니다.

• Program: 분석 대상 바이너리 (메모리, 명령어, 데이터타입 포함)
• Listing: 디스어셈블 결과를 보여주는 기본 뷰
• Decompiler: PCode(중간 언어) → C 유사 코드 변환
• Sleigh: 프로세서 아키텍처 명세 언어 (x86, ARM, MIPS 등)
• Script Manager: Python/Java 기반 자동화 인터페이스

4. 퀵스타트

설치부터 첫 번째 Python 스크립트 실행까지 10분이면 충분합니다.

4.1 설치 (Linux / macOS / WSL)

# 1. JDK 17+ 설치 (권장: Azul Zulu 또는 OpenJDK)
sudo apt install openjdk-17-jdk  # Ubuntu/Debian
# macOS: brew install --cask zulu17

# 2. Ghidra 다운로드 (공식 GitHub)
wget https://github.com/NationalSecurityAgency/ghidra/releases/download/Ghidra_11.2_build/ghidra_11.2_PUBLIC_20250315.zip

# 3. 압축 해제
unzip ghidra_11.2_PUBLIC_20250315.zip -d ~/tools/
export GHIDRA_HOME=~/tools/ghidra_11.2_PUBLIC

# 4. 실행 (GUI)
./ghidraRun

4.2 Headless 분석 (CLI 우선)

# 분석 전용 스크립트 실행 (Python 예제)
$GHIDRA_HOME/support/analyzeHeadless /tmp/ghidra_proj MyProject \
    -import sample.exe \
    -postScript HelloGhidra.py \
    -deleteProject

4.3 첫 Python 스크립트 (HelloGhidra.py)

# HelloGhidra.py - Ghidra Python API 사용 예제
# @category: Tutorial
# @runtime: Python

from ghidra.app.script import GhidraScript
from ghidra.program.model.listing import CodeUnit

def get_function_names():
    """모든 함수 이름을 출력합니다."""
    fm = currentProgram.getFunctionManager()
    for func in fm.getFunctions(True):
        print(f"[+] {func.getName()} @ {func.getEntryPoint()}")

if __name__ == "__main__":
    print("=" * 50)
    print(f"Analyzing: {currentProgram.getName()}")
    print(f"Language:  {currentProgram.getLanguageID()}")
    print("=" * 50)
    get_function_names()

스크립트 실행: Script Manager → Run 또는 CLI analyzeHeadless -postScript

5. 핵심 설정 레퍼런스

자주 사용되는 설정 항목과 권장값을 표로 정리했습니다.

6. 실무 팁 & 트러블슈팅

현업에서 자주 마주치는 문제와 그 해결책을 모았습니다.

6.1 자주 겪는 문제

6.2 실무 꿀팁

• 배치 자동화: analyzeHeadless + Python os.listdir로 폴더 전체 분석 파이프라인 구축
• 데이터 익스포트: ExportProgram API로 XML/CSV 내보내기 → AI/ML 파이프라인에 공급
• 멀티 유저 협업: ghidraSrv 서버 실행 후 팀원들이 동일 프로젝트에 접속
• 커스텀 프로세서: Sleigh 파일(.sla)로 신규 아키텍처 정의 가능

7. 참고 자료

공식 문서와 커뮤니티 리소스입니다.

• 🔗 Ghidra 공식 홈페이지
• 🔗 GitHub 저장소 (소스 코드 & 릴리스)
• 🔗 Decompiler API 문서
• 🔗 Ghidra Python Snippets (커뮤니티 예제)
• 🔗 ghidra_bridge (외부 CPython 연결)