GhidraMCP: Open-Source-Projekt, das KI-LLMs ermöglicht, Ghidra autonom für Reverse Engineering zu bedienen 141

Was ist GhidraMCP?

GhidraMCP ist ein Open-Source-Projekt, das es KI-Großmodellen (wie Claude) über das MCP-Protokoll ermöglicht, Ghidra autonom für Reverse Engineering zu bedienen. Es stellt die Kernfunktionen von Ghidra MCP-Clients zur Verfügung und unterstützt Dekompilierung, Analyse von Binärdateien, automatisches Umbenennen von Methoden und Daten sowie das Auflisten von Methoden, Klassen, Import- und Exporttabellen.

Funktionsmerkmale von GhidraMCP

• Dekompilierung und Analyse: Unterstützt die Dekompilierung und Analyse von Binärdateien in Ghidra und erzeugt gut lesbaren Pseudocode.

• Automatisierte Umbenennung: Basierend auf semantischer Analyse werden Methodennamen, Klassenstrukturen und Datenvariablen automatisch annotiert, um die Lesbarkeit des Codes zu verbessern.

• Strukturierte Informationsextraktion: Exportiert stapelweise Metadaten wie Funktionslisten, Klassendefinitionen sowie Import-/Exporttabellen von Programmen.

• Multi-Client-Kompatibilität: Unterstützt alle Clients, die dem MCP-Protokoll entsprechen, wie Claude Desktop und 5ire.

Anwendungsszenarien von GhidraMCP

• Malware-Analyse: Erkennt automatisch verdächtige API-Aufrufketten in Samples, erstellt kommentierte Dekompilierungsberichte und steigert die Effizienz der Analyse.

• Firmware-Schwachstellensuche: Kombiniert die Fähigkeit zur Steuerung mehrerer Modelle, um Funktionstabellen zu extrahieren, potenzielle Schwachstellen zu identifizieren und Verifizierungsskripte zu generieren.

• Software-Reverse-Engineering: Unterstützt das Verständnis der logischen Struktur komplexer Software und senkt die Schwierigkeit des Reverse Engineering.

Technische Architektur

• MCP-Protokoll: Dient als „Übersetzer" und definiert ein standardisiertes Interaktionsformat zwischen KI und Werkzeugen, das die Übermittlung von Befehlen und die Rückgabe von Ergebnissen unterstützt.

• Python-Skript-Brücke: Das Skript bridge_mcp_ghidra.py parst KI-Befehle und ruft über Socket-Kommunikation das Ghidra-Plugin auf.

• Ghidra-Plugin: GhidraMCPPlugin überwacht Befehle und ruft die Java-API von Ghidra auf, um Dekompilierung, Symbolanalyse und weitere Operationen auszuführen.

Verwendung von GhidraMCP

1. Installation des Ghidra-Plugins:

• Laden Sie die neueste Version des GhidraMCP-Release-Pakets herunter.

• Starten Sie Ghidra, wählen Sie File -> Install Extensions und importieren Sie die heruntergeladene ZIP-Datei.

• Starten Sie Ghidra neu und stellen Sie sicher, dass das Plugin aktiviert ist.

2. Konfiguration des MCP-Clients:

• Claude Desktop: Bearbeiten Sie die Konfigurationsdatei claude_desktop_config.json und fügen Sie die Dienstkonfiguration von GhidraMCP hinzu.

• 5ire: Stellen Sie die Werkzeugkonfiguration im Client ein und geben Sie Tool Key, Name und Command an.

3. Ausführung und Nutzung:

• Nach dem Start des Clients können Sie über natürliche Sprache mit der KI interagieren und die Funktionen von Ghidra für Reverse-Engineering-Analysen aufrufen.

GhidraMCP GitHub:https://github.com/LaurieWired/GhidraMCP