4、Ghidra脚本基础：Python脚本在Ghidra中的运行机制，访问当前程序、函数、指令的API
好，咱们进入正题。这一章我打算聊聊Ghidra脚本的基础——说白了，就是怎么用Python让Ghidra帮你干活。你想想看，逆向分析时那些重复性的体力活，比如遍历函数、查找特定指令、提取字符串引用……如果全靠鼠标点，效率实在太低了。我个人习惯是，能用脚本解决的，绝不动手。
4.1 Python脚本在Ghidra中的运行机制
Ghidra的脚本引擎其实挺有意思。它内置了一个Jython解释器——也就是用Java实现的Python 2.7。嗯，这里要注意，不是Python 3，是Python 2.7。我第一次用的时候也愣了一下，心想这年头还有用Python 2的？但Ghidra就是这么设计的，因为它需要和Java的API无缝交互。
脚本怎么跑？很简单。你打开Ghidra，加载一个二进制程序后，点击菜单栏的 Window → Script Manager，或者直接按快捷键 Alt + Shift + R。弹出来的窗口里，你可以新建、编辑、运行Python脚本。Ghidra会自动把脚本文件放在 ~/ghidra_scripts/ 目录下。
核心机制：Ghidra的Python脚本本质上是运行在JVM里的。你写的Python代码，底层调用的其实是Ghidra的Java API。Jython负责把Python调用翻译成Java调用。所以，你能用Java做的，Python脚本基本都能做——只是语法更简洁。
脚本的运行环境里，Ghidra已经帮你准备好了几个全局变量，直接拿来用就行：
| 变量名 | 类型 | 说明 |
|---|---|---|
currentProgram |
Program | 当前打开的程序对象 |
currentAddress |
Address | 当前光标所在的地址 |
currentSelection |
ProgramSelection | 当前选中的地址范围 |
monitor |
TaskMonitor | 任务监视器，用于显示进度 |
state |
ScriptState | 脚本状态对象 |
我刚开始写脚本时，总记不住这些变量名。后来发现，其实你只要在脚本里敲 currentProgram，Ghidra的自动补全就会帮你列出所有可用的方法和属性。这个功能很贴心。
4.2 访问当前程序
currentProgram 是你操作二进制程序的入口。通过它，你可以拿到程序的各种信息。比如：
# 获取程序名称
program_name = currentProgram.getName()
print("程序名称:", program_name)
# 获取程序的基地址
base_address = currentProgram.getImageBase()
print("基地址:", base_address)
# 获取程序的架构信息
language = currentProgram.getLanguage()
print("架构:", language.getProcessor().toString())
# 获取程序的入口点
entry_point = currentProgram.getExecutableEntryPoint()
print("入口点:", entry_point)我在项目中遇到过一个问题：有些加壳程序，入口点被修改了，用 getExecutableEntryPoint() 拿到的地址其实是壳的入口，不是原始程序的入口。这时候就需要结合其他信息来判断了。
4.3 遍历和访问函数
函数是逆向分析的核心单元。Ghidra提供了 FunctionManager 来管理所有函数。你可以通过 currentProgram.getFunctionManager() 拿到它。
遍历所有函数：
function_manager = currentProgram.getFunctionManager()
functions = function_manager.getFunctions(True) # True表示正向遍历
for func in functions:
name = func.getName()
entry = func.getEntryPoint()
body = func.getBody()
print(f"函数: {name}, 入口: {entry}, 大小: {body}")这里有个小细节：getFunctions(True) 返回的是一个迭代器，不是列表。如果你需要多次遍历，最好先转成列表：list(functions)。
按名称查找函数：
func = getGlobalFunctions("main")
if func:
print("找到main函数:", func[0].getEntryPoint())
else:
print("没找到main函数")嗯，getGlobalFunctions 返回的是一个列表，因为可能有重名函数。不过大多数情况下，你只需要取第一个。
4.4 访问指令和操作码
指令级别的操作，需要用到 Listing 对象。它相当于Ghidra的反汇编视图。
listing = currentProgram.getListing()
# 获取当前地址的指令
instruction = listing.getInstructionAt(currentAddress)
if instruction:
print("指令:", instruction.toString())
print("助记符:", instruction.getMnemonicString())
print("操作数:", instruction.getDefaultOperandRepresentation(0))
print("长度:", instruction.getLength())遍历一段地址范围内的所有指令：
from ghidra.program.model.address import AddressSet
# 假设我们要遍历整个.text节
text_block = currentProgram.getMemory().getBlock(".text")
if text_block:
addr_set = AddressSet(text_block.getStart(), text_block.getEnd())
instructions = listing.getInstructions(addr_set, True)
for instr in instructions:
addr = instr.getAddress()
mnemonic = instr.getMnemonicString()
print(f"{addr}: {mnemonic}")个人经验：我在分析恶意软件时，经常需要查找所有 call 指令。用上面的遍历方法，加上一个简单的条件判断，几秒钟就能把整个程序的调用关系梳理出来。比手动翻反汇编窗口快太多了。
4.5 实战：统计函数中的指令分布
光说不练假把式。咱们写一个完整的脚本，统计指定函数中各种指令的出现次数。这个脚本我在分析混淆代码时经常用——如果某个函数里全是 mov 和 nop，那基本可以断定是垃圾指令填充。
# 统计函数中的指令分布
from collections import Counter
def count_instructions_in_function(func_name):
func_manager = currentProgram.getFunctionManager()
funcs = getGlobalFunctions(func_name)
if not funcs:
print(f"函数 {func_name} 未找到")
return
func = funcs[0]
body = func.getBody()
listing = currentProgram.getListing()
instructions = listing.getInstructions(body, True)
counter = Counter()
for instr in instructions:
mnemonic = instr.getMnemonicString()
counter[mnemonic] += 1
print(f"函数 {func_name} 的指令统计:")
for mnemonic, count in counter.most_common():
print(f" {mnemonic}: {count} 次")
# 调用示例
count_instructions_in_function("main")你看，不到20行代码，就把一个函数的指令分布摸清楚了。这就是脚本的威力。
4.6 避坑指南
我曾经踩过的坑：
- Python版本问题：Ghidra用的是Python 2.7，所以
print不加括号也能跑，但range返回的是列表而不是迭代器。如果你习惯了Python 3，写脚本时很容易掉坑里。我建议在脚本开头加一行from __future__ import print_function，至少让print的行为和Python 3一致。 - 内存泄漏：如果你在循环里频繁创建对象，记得及时释放。Ghidra的Jython垃圾回收有时不太积极。我一般会在处理完一批数据后，手动调用
gc.collect()。 - 脚本超时：Ghidra默认的脚本执行时间有限制。如果你要处理大型二进制文件，记得在脚本里定期调用
monitor.checkCanceled()，否则Ghidra可能会强制终止你的脚本。
4.7 知识体系总览
为了让你更直观地理解这一章的内容，我画了一张图。它展示了Ghidra Python脚本的核心结构：从脚本入口，到访问程序、函数、指令，再到实际应用。
这张图把咱们这一章的内容串起来了。从脚本入口开始，利用预置的全局变量，访问Program、FunctionManager、Listing三大核心对象，最后应用到实际场景中。你写脚本时，脑子里可以时刻想着这个结构——需要什么数据，就去哪个对象里拿。
一个小建议：刚开始写Ghidra脚本时，别想着一步到位。先写一个能跑的小脚本，比如打印出所有函数的名字。跑通了，再慢慢加功能。我每次接手一个新项目，都是这么干的——先写个"Hello World"级别的脚本，确认环境没问题，再深入。
好了，这一章的内容就到这里。Python脚本在Ghidra中的运行机制、如何访问程序、函数、指令，咱们都过了一遍。剩下的就是你自己动手试试了。打开Ghidra，加载一个你熟悉的二进制文件，写几个小脚本练练手。相信我，一旦你尝到了脚本自动化的甜头，就再也回不去纯手工逆向的日子了。