[md]# Ghidra 逆向工程两本指南 · 七言九言歌诀

---

## 第一部：《Ghidra权威指南》歌诀

> 我今有书一部，可以超脱汇编苦恼，解释逆向灾愆。五部：有《简介》一部，谈反汇编之理；有《基本用法》一部，说Ghidra之术；有《自定义自动化》一部，度脚本之功；有《深入探索》一部，论底层之妙；有《实际应用》一部，解实战之难。共计二十三章，附录一篇。真是逆向之径，分析之门。今以七言歌诀撮其要旨，便于记诵。

---

### 第1章 反汇编简介

机器零一最难明，汇编助记稍堪行。
高级语言编译去，反汇编器溯回程。
线性扫描全覆盖，代码数据混难分。
递归下降循流向，漏网之鱼恐失真。
恶意软件查行迹，漏洞分析探隐情。
互操作里寻接口，编译验证看伪真。
调试信息需借助，反汇编器是明灯。

---

### 第2章 逆向与反汇编工具

逆向工具种类繁，各有所长不一般。
调试器可动态追，反汇编器静态看。
十六进制编辑器，底层字节任查盘。
PE 工具看格式，文件结构细钻研。
混淆手段遮真相，脱壳去伪觅本源。
诸般利器皆有用，Ghidra 集成胜万般。

---

### 第3章 初识Ghidra

国安局里出奇兵，Vault 七泄天下惊。
开源免费惠大众，逆向工程换新晴。
平台无关跨系统，多种架构尽支持。
下载安装不复杂，JDK 先行是前提。
docs 目录有文档，GhidraClass 助学习。
源码开放任探索，社区共建日日新。

---

### 第4章 开始使用Ghidra

项目窗口初启程，新建项目第一步。
导入文件选格式，加载器自辨类型。
CodeBrowser 是主力，数据库中存分析。
自动分析一键起，插件协同辨代码。
分析选项可调校，默认配置亦堪夸。
保存退出需谨记，成果不失在 Project。

---

### 第5章 Ghidra数据显示

CodeBrowser 显神通，六大窗口各不同。
清单窗口列指令，反编译器化高级。
函数管理列函数，符号树上分门类。
程序树状看结构，数据类型管理器。
控制台窗看脚本，字符串窗搜文本。
交叉引用随时查，图形窗口 visualize。

---

### 第6章 理解Ghidra反汇编

导航技巧是根基，双击跳转随处去。
交叉引用可追溯，前进后退记足迹。
函数栈帧细剖析，局部变量藏其中。
EBP ESP 定框架，参数偏移算分明。
调用约定有多种，cdecl stdcall 各不同。
thiscall 传 this 指针，寄存器里暗藏情。
数据流分析难尽，手动补全显功力。

---

### 第7章 反汇编操作

反汇编后需操作，重命名函数最常用。
标签标注入口点，注释说明添理解。
块注释前注释后，可重复注释最灵活。
代码数据可互换，误判之时手动调。
搜索字符串有对话框，条件设置任筛选。
数组声明定边界，元素类型可指定。
反汇编操作千万条，细心耐心第一条。

---

### 第8章 数据类型和数据结构

数据类型是基础，逆向工程不可无。
整数浮点指针类，字节长短各分途。
结构体里成员列，偏移大小需对齐。
数组连续内存放，索引乘加算地址。
C++ 类有虚表，构造析构引用之。
虚表指针藏对象，继承多态此中知。
数据类型管理器，自定义型任添增。

---

### 第9章 交叉引用

交叉引用最常用，谁调谁访一查明。
引用方向有讲究，读写执行各不同。
References To 看被调，References From 看调谁。
符号引用快速找，strcpy 一键定位。
高级引用操作多，反向引用等同义。
图形配合交叉引，程序行为渐透明。
逆向分析两问句，交叉引用答分明。

---

### 第10章 图形

图形展示胜千言，节点连线见关联。
基本块图控制流，绿红蓝箭指方向。
条件跳转分两路，顺序执行一直行。
函数调用图画出，谁调谁被层次清。
静态链接最复杂，调用图深如森林。
main 入口寻根脉，层层展开渐分明。
图形工具作分析，一目了然胜文本。

---

### 第11章 协作逆向工程

Ghidra 独有协作功，多人共析一项目。
服务器端需配置，端口密码要设好。
共享项目连仓库，团队同步分析果。
批量导入多文件，文件系统可浏览。
项目文件存本地，共享仓库在服务端。
版本控制跟踪改，谁修谁补记录全。
协作逆向效率倍，众人拾柴火焰高。

---

### 第12章 自定义Ghidra

用久自然想定制，工具选项随心调。
CodeBrowser 窗口配，字段颜色字大小。
热键绑定顺手设，工具栏上增减妙。
项目配置分层次，Core 默认已开启。
自定义工具创建新，针对场景设专精。
工作区如虚拟桌，多套配置随意挑。
个性化后效率升，得心应手乐逍遥。

---

### 第13章 Ghidra功能扩展

全自动识别是理想，库签名助力达目标。
FidDb 函数识别库，已知函数速匹配。
共享库依赖先查明，libc.so 不陌生。
Ghidra 功能可扩展，签名生成与分析。
Function ID 分析器，匹配函数省人工。
二进制结构新识别，扩展能力无穷尽。
高质量工具应如此，自动注释越多越好。

---

### 第14章 Ghidra脚本开发

脚本开发扩展能，Python Java 皆可行。
脚本管理器内置好，分类目录查找灵。
工具栏上操作全，运行编辑导入出。
Ghidra API 接口广，地址符号函数型。
Address 对象定位准，Symbol 接口查符号。
Function 接口管理函数，getFunctionAt 精准找。
脚本虽小功能大，自动化中显奇效。

---

### 第15章 Eclipse和GhidraDev

脚本渐多需 IDE，Eclipse 集成是正道。
GhidraDev 插件安装好，开发调试效率高。
新建项目有向导，三种类型任挑选。
脚本项目链接好，模块项目更强大。
Eclipse 中写脚本，语法补全错误少。
调试模式断点设，单步执行看变量。
构建分析器新示例，脚本提升新水平。
GhidraDev 强大处，专业开发不可少。

---

### 第16章 Ghidra无头模式

无头模式不需 GUI，命令行下亦分析。
批量处理大优势，成千文件一时毕。
创建项目导文件，自动分析全流程。
前后脚本可挂载，preScript postScript 灵。
处理器选项指定准，语言编译器可调。
多核并行加速快，CPU 核数上限设。
存档导入也支持，大规模任务轻松克。
无头模式自动化，重复工作一键决。

---

### 第17章 Ghidra加载器

加载器是入门关，文件格式自动辨。
PE ELF 皆支持，无法识别手动担。
FlatProgramAPI 用，脚本加载也方便。
构建新器有模板，六个任务标签引。
字节读取定偏移，内存布局需铺排。
加载器类继承好，getName find loader。
Eclipse 调试省反复，导出启动循环少。
Shellcode 也能载，跳出二进制框框找。

---

### 第18章 Ghidra处理器

处理器模块最复杂，反汇编全靠它当家。
SLEIGH 语言定规范，机器码翻译成汇编。
data 文件夹九个文件，sleighton .slaspec 是关键。
从头构建任务重，修改现有更可行。
模式识别函数和代码，正则匹配巧运用。
语言变体需指定，编译器规格要对应。
添加新处理器和指令，SLEIGH 功夫要深精。
处理器模块若掌握，Ghidra 底层尽通明。

---

### 第19章 Ghidra反编译器

反编译器最受欢迎，高级语言自动生。
幕后原理需了解，分析过程它辅助。
PCode 是中间层，机器指令先化 IR。
反编译器窗口好，C 伪代码直观看。
类型推断自动做，变量函数渐明朗。
优化选项可调校，类型转换可隐藏。
积极优化简代码，可读性高胜汇编。
反编译器是利器，新手老手皆喜欢。

---

### 第20章 编译器变体

不同编译器差异大，平台不同代码变。
优化级别影响深，内联函数调用减。
常量传播直接代，死代码消可不见。
C++ 名称改编法，微软 Intel 两方案。
Itanium ABI 广采用，g++ clang 皆同源。
识别改编辨 C++，虚表继承此中现。
编译器变体需理解，分析之时不茫然。
同一源码不同编译，逆向结果可能全变。

---

### 第21章 混淆代码分析

混淆代码最难读，静态分析显功夫。
加密压缩加花指令，层层脱壳觅真途。
Burneye 加密 ELF 包，脚本解码步骤明。
ASPack 更复杂器，模拟执行也能行。
模拟器比调试器活，跨平台仿真指令集。
x86 上跑 MIPS 码，Windows 上跑 Linux 程。
指令字节逐条仿，寄存器内存皆可监。
混淆不必动态跑，静态分析亦破冰。

---

### 第22章 修补二进制文件

逆向有时需修补，修改行为改指令。
搜索内存定位准，十六进制编辑行。
Ghidra 内部可修补，指令替换字节更。
原始文件导新版，补丁版本另保存。
NOP 填充空跳过，JMP 改向绕流程。
修改原因有多种，测试调试除Bug。
补丁之后需验证，行为符合预期否。
修补二进制是末技，谨慎使用记初心。

---

### 第23章 二进制差分和版本跟踪

两个二进制比差异，差分跟踪是利器。
程序升级改何处，补丁修补哪段码。
Ghidra 差分功能强，结构对比细到行。
版本跟踪更高级，关联函数识对应。
关联器有多种类，Manual Match 手动连。
Symbol Name 按名配，Reference 按引联。
两个文件差异列，关联性扩展识对应。
差分跟踪助升级，安全分析步步精。

---

### 附录 IDA用户的Ghidra使用指南

IDA 老手转 Ghidra，术语映射是关键。
项目视图对应好，CodeBrowser 即 IDA View。
数据库结构似 TIL，类型管理器相当焉。
反编译器各有长，优化选项可调变。
快捷键名虽不同，功能对应一般般。
IDA 经验不白费，触类旁通转换快。
两器结合用更妙，函数识别率更高。
迁移之路非遥远，此附录是桥梁篇。

---

---

## 第二部：《面向初学者的Ghidra软件逆向工程》歌诀

> 全书三部分十四章，今以七言歌诀撮其要旨，便于记诵。

---

### 第1章 Ghidra入门

Vault 七泄天下惊，CIA 武器现原形。
NSA 开源 Ghidra 出，逆向工具换新兵。
IDA 对比有优劣，免费开源是长项。
多架构支持广泛，协作模式独一份。
安装只需 JDK 在，下载解压即可行。
功能概述初了解，逆向之旅此启程。
恶意软件分析好，漏洞研究也能精。

---

### 第2章 使用Ghidra脚本自动化逆向工程任务

逆向任务多重复，脚本自动化省工夫。
Ghidra 内置脚本库，使用改编两相宜。
脚本类是根基物，继承 GhidraScript 类。
Java Python 皆可写，脚本管理器中寻。
开发新脚本不难学，API 文档助前行。
注释路径声明好，菜单工具栏安停。
运行结果控制台，调试迭代步步精。
脚本虽小威力大，自动化中效率升。

---

### 第3章 Ghidra调试模式

调试模式需环境，JDK Eclipse 先搭好。
PyDev 插件安装上，GhidraDev 不可少。
Eclipse 中调试脚，断点单步看变量。
任意组件也能调，Ghidra 代码深处探。
RCE 漏洞需警惕，远程代码执行险。
解释利用再修复，安全意识要常存。
查找易受攻击机，网络扫描需谨慎。
调试模式专业好，开发调试两相成。

---

### 第4章 使用Ghidra扩展

扩展模块添新能，Ghidra 之外有乾坤。
安装现有扩展包，功能增强不求人。
Sample Table Provider 例，插件代码细分析。
扩展骨架有五类，分析器文件系统配。
插件导出器加载器，各司其职分工明。
开发扩展有规范，骨架结构需遵循。
扩展安装重启效，新功能现工具中。
模块化设计是精髓，按需扩展最轻松。

---

### 第5章 使用Ghidra逆向恶意软件

恶意软件逆向难，Ghidra 出马破难关。
搭建环境先准备好，样本导入分析端。
查找指标三步走，字符串里藏线索。
情报信息外部源，威胁报告助判断。
导入函数查能力，LoadLibrary 动态载。
入口函数是起点，层层剖析渐深入。
线程创建新函数，管道同步暗通信。
函数逐个分析过，恶意行为终暴露。

---

### 第6章 脚本化恶意软件分析

脚本分析恶意码，Ghidra API 是桥梁。
Java 编写效率高，Python 灵活也堪当。
反混淆是重头戏，Delta 偏移先算明。
API 哈希转地址，哈希表破见真名。
Ghidra 脚本反混淆，自动化中省人工。
改进脚本结果好，注释标注更丰盈。
恶意软件日日新，脚本工具时时更。
攻防博弈无止境，脚本在手步步赢。

---

### 第7章 使用Ghidra Headless分析器

无头模式无 GUI，命令行下也分析。
为何使用 Headless？批量处理是优势。
创建项目填文件，导入分析一条龙。
已存二进制再分析，非 GUI 脚本也能行。
项目之中跑脚本，自动化任务轻松成。
大规模时显威力，成百上千一时毕。
无需人工值守候，后台运行效率精。
Headless 是自动化，Ghidra 深层能力明。

---

### 第8章 审计程序二进制文件

审计二进制找漏洞，Ghidra 辅助显神通。
内存损坏漏洞多，栈堆溢出最常见。
理解栈帧结构后，缓冲溢出原理明。
基于栈的缓冲溢，越界写入覆盖返。
堆溢出更复杂些，分配释放有玄机。
格式化字符串漏洞，printf 参数可读写。
Ghidra 中查漏洞，危险函数先定位。
利用简单栈溢出，逆向审计步步精。

---

### 第9章 脚本化二进制审计

审计耗时需自动，脚本化是好出路。
符号表中查不安全，strcpy sprintf 危险多。
脚本反编译程序码，批量分析省功夫。
sscanf 调用者查找，枚举函数逐个过。
PCode 分析调用者，中间表示是利器。
PCode 与汇编不同，架构无关通用语。
同一脚本多架构用，PCode 优势此处显。
脚本审计效率倍，漏洞挖掘自动化。

---

### 第10章 开发Ghidra插件

插件开发深入探，第4章中已铺垫。
Ghidra 发行自带件，第三方件也有选。
插件骨架要理解，文档代码 Provider。
ProgramPlugin 是基类，程序事件处理全。
编写插件文档先，实现类和 Provider。
插件开发有规范，接口实现要周全。
GUI 组件可添加，用户交互更方便。
插件扩展 Ghidra 能，个性化定制最得心。

---

### 第11章 整合新的二进制格式

新二进制格式入，Ghidra 分析范围扩。
原始二进制无格式，格式化文件有规范。
理解区别是前提，加载器开发才可行。
旧式 DOS 可执行，MZ 格式来解析。
解析器中读结构，加载器里写入库。
文件系统加载器另，FileSystem Resource Locator。
FSRL 定位资源准，路径协议分得清。
加载器开发有模板，遵照骨架步步行。

---

### 第12章 分析处理器模块

处理器模块是高级，SLEIGH 语言是核心。
现有模块先了解，骨架结构再细研。
开发环境搭建好，处理器骨架创建新。
编写文档说明清，模式识别函数码。
指定语言及变体，编译器规格要对应。
SLEIGH 规范语言深，机器指令翻译准。
从头创建任务重，修改现有更可行。
处理器模块若掌握，Ghidra 底层尽通明。

---

### 第13章 为Ghidra社区做贡献

开源项目靠社区，贡献力量是正道。
Ghidra 项目概述览，社区参与途径多。
法律方面先理解，许可证条款要看清。
提交 Bug 报告好，问题描述要精准。
建议新功能也可，需求讨论社区中。
提交问题助改进，Pull Request 最光荣。
代码贡献需审核，社区共建同维护。
Ghidra 发展靠大家，人人参与力量大。

---

### 第14章 扩展Ghidra进行高级逆向工程

高级逆向新领域，符号执行是利器。
SMT 求解器辅助，约束求解自动化。
混合执行两结合，具体符号并行跑。
AngryGhidra 添能力，符号执行入 Ghidra。
pcode-to-llvm 转换好，PCode 变 LLVM IR。
LLVM 生态利用上，分析工具更丰富。
高级逆向前沿探，Ghidra 扩展无止境。
学海无涯苦作舟，逆向之路步步升。

---

---

## 总诀

两部指南一脉承，Ghidra 逆向工程明。
权威指南全面授，二十三章细细论。
入门书篇实战重，十四章节步步行。
反汇编理是根基，工具熟练是前提。
项目文件先导入，数据显示要熟悉。
操作反汇动手做，数据类型结构析。
交叉引用图形化，协作逆向效率提。
自定义与扩展能，脚本开发自动化。
无头模式批量析，加载处理器底层。
反编译器是利器，编译变体需辨明。
混淆修补与差分，实际应用显真功。
IDA 用户迁移易，附录指南桥梁通。
恶意软件逆向析，脚本审计漏洞寻。
插件开发新格式，处理器模块深层。
社区贡献人人责，高级逆向前沿探。
七言歌诀记要义，实战演练出真知。
逆向工程无捷径，勤学苦练是正道。[/md]

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。