جيدرا (Ghidra) — الدليل الشامل للهندسة العكسية

تُعد منصة Ghidra أداة مفتوحة المصدر للهندسة العكسية للبرمجيات (SRE)، أطلقتها وكالة الأمن القومي الأمريكية (NSA). توفر الأداة محللاً للأكواد (Disassembler) ومسترجعاً للكود المصدري (Decompiler) يدعم معالجات x86/x64 و ARM و MIPS و RISC-V و PowerPC و SPARC وغيرها الكثير، مع واجهة رسومية تعتمد على Java. وتعتبر البديل المجاني الأبرز لبرنامج IDA Pro.

التثبيت (Install)

أو عبر أمر brew install ghidra لمستخدمي نظام macOS.

التشغيل الأول

1. File ← New Project ← اختيار Non-Shared (لمستخدم واحد).
2. سحب الملف الثنائي (Binary) إلى نافذة المشروع ← استيراد (Import) ← استخدام الإعدادات الافتراضية.
3. النقر المزدوج على الملف ← يفتح واجهة CodeBrowser.
4. الموافقة على التحليل التلقائي (Auto-analysis) ← اضغط Analyze.

تخطيط CodeBrowser

اختصارات لوحة المفاتيح الأساسية

سير العمل على عينة برمجية خبيثة (Malware)

1. تحديد الواردات (Imports) ← ابحث عن وظائف مثل WinHttp* و CreateRemoteThread و VirtualAllocEx و WriteProcessMemory — وهي مؤشرات أساسية لعمل أدوات الوصول عن بُعد (RAT).
2. النصوص (Strings) ← ابحث عن نصوص مثيرة للاهتمام مثل (http:// ، Mozilla/5.0 ، مسارات الملفات) وأضفها كتعليقات.
3. ابحث عن نقطة الدخول main أو WinMain أو DllMain وابدأ التحليل منها للخارج.
4. أعد تسمية الدوال فور اتضاح سلوكها (استخدم L للتسمية).
5. طبق أنواع الهياكل البرمجية (Structs) عند ملاحظة إزاحات (Offsets) ثابتة.
6. استخدم لوحة Decompiler كخريطة أساسية، ولوحة Listing للتحقق الدقيق.

البرمجيات النصية المضمنة (Script Manager)

يمكنك كتابة سكربتات بلغة Java أو Python (عبر Jython / Ghidrathon) من خلال: Window ← Script Manager ← New Script.

# مثال: استخراج كافة الدوال التي تزيد عن 100 تعليمة إلى ملف
fm = currentProgram.getFunctionManager()
with open("/tmp/fns.txt", "w") as f:
    for fn in fm.getFunctions(True):
        if fn.getBody().getNumAddresses() > 100:
            f.write(f"{fn.getName()}\t{fn.getEntryPoint()}\n")

الإضافات المفيدة (Extensions)

• Ghidrathon: لدعم لغة Python 3 بدلاً من Jython.
• GhidraEmu: لمحاكاة تشغيل الدوال.
• GhidraPAL / pcode-tools: للعمل مع لغة Ghidra الوسيطة (IR).
• ret-sync: لمزامنة مؤشر Ghidra مع برامج التصحيح (مثل x64dbg أو gdb).

وضع الخادم / المشاركة (Shared mode)

يسمح هذا الوضع لمستخدمين متعددين بالعمل على نفس الملف الثنائي في مشروع مشترك، مع إمكانية قفل الدوال أثناء العمل عليها.

المشكلات الشائعة وحلولها

منظور المدافع ومحلل الهندسة العكسية

تعد Ghidra سلاحاً أساسياً للمدافعين. بمجرد الحصول على ملف مشبوه (من KAPE أو EDR أو MalwareBazaar)، قم بفتحه لـ:

1. تتبع دالة main لفهم السلوك.
2. تحديد نصوص خوادم التحكم (C2) والمفاتيح المشفرة برمجياً.
3. كتابة قواعد Yara لتسلسلات العمليات (Opcodes) الفريدة.
4. توثيق مؤشرات الاختراق (IOCs) لمشاركتها مع فرق الاستجابة.

أدوات ذات صلة