一个连源代码都没有的程序，怎么搞清楚它到底在干什么？ - 蝈蝈俊
内容提要
Ghidra是NSA于2019年开源的逆向工程工具，支持反汇编、反编译和图形化展示程序逻辑，免费、跨平台、多架构，具备脚本自动化和团队协作功能，常用于恶意软件分析、漏洞研究和CTF竞赛。社区推出的GhidraMCP可将其接入本地AI助手，降低使用门槛。
延伸解读
Ghidra 与 IDA Pro 的定位差异
文章将 Ghidra 与商业工具 IDA Pro 对比，指出 IDA Pro 每年上千美元的授权费把个人用户挡在门外，而 Ghidra 采用 Apache 2.0 许可，个人、教育、商业用途均无费用和法律负担。但文章并未声称 Ghidra 在功能上全面超越 IDA Pro，而是强调其免费且具备跨平台、跨架构、脚本自动化、团队协作等实用能力，适合预算有限的用户作为入门或替代选择。
AI 辅助逆向的现状与边界
文章提到 GhidraMCP 项目通过模型上下文协议将 Ghidra 接入 AI 助手，支持本地模型如 Ollama，分析敏感文件时数据无需离开电脑。但文章也明确当前 AI 辅助逆向并非全自动：有案例显示 AI 在识别目标平台时表现不错，执行具体操作如修改内存仍需人工介入。它降低的是入门门槛，而非取代分析师。
使用前需留意的安全提醒
文章在介绍安装步骤后特别提醒，官方 README 标注了部分版本存在已知安全漏洞，建议安装前查看 Security Advisories 并使用最新稳定版。这意味着 Ghidra 虽然免费开源，但用户仍需关注版本更新与安全公告，避免因使用旧版而引入风险。对于分析恶意样本的场景，这一提醒尤其值得注意。
Q&A
Ghidra是什么？它主要能做什么？
Ghidra是美国国家安全局（NSA）于2019年开源的逆向工程工具，支持反汇编、反编译和图形化展示程序逻辑，免费、跨平台、多架构，具备脚本自动化和团队协作功能，常用于恶意软件分析、漏洞研究和CTF竞赛。
Ghidra和IDA Pro相比有什么优势？
Ghidra采用Apache 2.0开源许可，个人、教育、商业用途都免费，而IDA Pro每年授权费上千美元。Ghidra还支持跨平台、跨架构（x86、ARM、MIPS等数十种），内置脚本自动化和团队协作功能，这些在商业工具中往往需要额外付费。
GhidraMCP是什么？它如何降低逆向工程的门槛？
GhidraMCP是一个社区项目，通过模型上下文协议将Ghidra的逆向分析能力接入AI助手，AI可以直接调用反编译、函数重命名、交叉引用查询等操作。它支持连接本地运行的AI模型（如Ollama），分析敏感文件时数据不离开电脑，让不熟悉Ghidra复杂界面的人也能通过描述需求让AI操作工具。
Ghidra的脚本自动化能力具体怎么用？
Ghidra支持用Python或Java编写脚本，自动执行重复性分析步骤，比如批量提取所有函数的名称和反编译结果。它还提供Headless模式，无需图形界面即可在命令行批量处理二进制文件，适合筛查大量样本。
安装和使用Ghidra需要什么环境？如何快速上手？
需要Java 17以上（Ghidra 12.x系列），Windows/macOS/Linux均可，内存建议8GB以上。从GitHub Releases下载zip解压后运行ghidraRun（Windows为ghidraRun.bat），macOS也可用brew install --cask ghidra。上手步骤：新建项目→导入文件→双击接受自动分析→在反编译窗口查看代码，常用快捷键g跳转地址、f创建函数、;添加注释、L重命名。
Ghidra适合哪些人使用？有哪些典型应用场景？
适合对安全感兴趣的人（学习恶意软件分析、漏洞研究、CTF竞赛）、开发者（理解无文档的遗留系统或第三方库内部实现）以及好奇者。NSA自己用它分析恶意代码、找系统漏洞，社区也基于它发展出AI辅助逆向生态。
