Ghidra脚本基础：Python与Java脚本框架、脚本管理器、Hello World脚本
好，咱们正式开始动手写脚本了。
说实话，很多刚接触Ghidra的朋友，第一反应是「这工具界面好复杂，脚本肯定更难」。其实恰恰相反——Ghidra的脚本框架设计得相当友好。我个人习惯把脚本看作是「给Ghidra装了个遥控器」，你想让它分析哪里、输出什么，写几行代码就行。
脚本框架：Python还是Java？
Ghidra支持两种脚本语言：Python（Jython）和Java。你可能会纠结选哪个，我直接说结论：
| 特性 | Python（Jython） | Java |
|---|---|---|
| 上手难度 | 低，语法简洁 | 中等，需要编译 |
| 执行速度 | 较慢（解释执行） | 快（编译执行） |
| API访问 | 完整 | 完整 |
| 调试体验 | 一般 | 好（IDE支持） |
| 典型场景 | 快速原型、数据分析 | 性能敏感、复杂逻辑 |
我的建议是：日常分析用Python，性能瓶颈或要集成到工具链时用Java。我在项目中遇到过用Python写了个批量扫描脚本，处理小样本没问题，但面对固件包（几万个函数）时慢得让人抓狂——后来改成Java版本，速度提升了近10倍。
核心要点：Ghidra的Python是基于Jython的，不是CPython。这意味着你不能直接import numpy、pandas这些C扩展库。嗯，这是个坑，我刚开始也踩过。
脚本管理器：你的操作中心
脚本管理器（Script Manager）是Ghidra里最常用的入口。你可以在菜单栏找到它：Window → Script Manager，或者直接按快捷键 Alt + Shift + R。
打开后你会看到这样的界面：
- 左侧是脚本树，按类别组织（Analysis、Data、Function等）
- 右侧是脚本列表，显示名称、描述、快捷键
- 顶部有搜索框，支持模糊匹配
- 底部有运行按钮和输出窗口
我个人习惯把常用脚本拖到快捷工具栏上。比如我写了一个「快速定位main函数」的脚本，每次打开新二进制文件，点一下就能跳过去，省得手动翻。
小技巧：脚本管理器里有个「Key Binding」列，你可以给常用脚本设置快捷键。比如我把Hello World脚本绑定到Ctrl+Shift+H，调试时随手就能跑。
Hello World：第一个Ghidra脚本
咱们直接上手写一个。打开脚本管理器，点击「Create New Script」按钮，选择Python（或Java），输入文件名 HelloWorld.py。
Ghidra会自动生成一个模板：
# HelloWorld.py
# @category: Tutorial
# @keybinding: Ctrl-Shift-H
# @menupath: Help.Hello World
from ghidra.app.script import GhidraScript
class HelloWorld(GhidraScript):
def run(self):
# 在这里写你的代码
println("Hello, Ghidra World!")
你可能会问：println是什么？这是GhidraScript提供的输出方法，它会打印到脚本管理器的控制台。如果你用Java，对应的是 println() 方法。
保存后，双击脚本运行。你会看到控制台输出：
Hello, Ghidra World!嗯，就这么简单。但别小看这一步——你想想看，这证明你的环境配置正确，脚本框架能正常工作了。我曾经在给团队培训时，有人卡在这一步整整半小时，最后发现是Jython路径没配好。
深入一点：脚本能做什么？
Hello World只是开胃菜。Ghidra脚本的真正威力在于它能访问当前分析的程序（Program）的所有信息。比如：
- 获取当前函数：
getCurrentFunction() - 获取所有指令：
getCurrentProgram().getListing().getInstructions(true) - 获取内存数据：
getCurrentProgram().getMemory() - 获取符号表：
getCurrentProgram().getSymbolTable()
我举个例子，写一个脚本打印当前函数的所有调用：
from ghidra.app.script import GhidraScript
from ghidra.program.model.symbol import RefType
class ListCalls(GhidraScript):
def run(self):
func = getCurrentFunction()
if func is None:
println("请先选中一个函数")
return
println("函数: " + func.getName())
for ref in func.getCallingFunctions(getCurrentProgram().getListing()):
println(" 被调用: " + ref.getName())
你看，代码量不大，但能直接帮你理清函数调用关系。我在分析恶意软件时，经常用这类脚本快速定位可疑的API调用链。
避坑指南：我踩过的几个坑
写Ghidra脚本时，有几个地方容易出问题：
- Python版本问题：Ghidra用的是Jython 2.7，不支持Python 3语法。比如
print()要写成println()，range()返回的是列表不是迭代器。 - 脚本路径：默认脚本目录在
~/.ghidra/.ghidra_版本号/scripts/。如果你把脚本放错位置，脚本管理器里看不到。 - 内存泄漏：如果你在循环里频繁创建对象，记得手动清理。我曾经写了个批量分析脚本，跑了一夜后Ghidra直接OOM崩溃——嗯，从那以后我养成了在循环末尾加
gc.collect()的习惯。
重要提醒：不要在生产环境直接运行未测试的脚本。特别是那些会修改程序数据库（Program DB）的脚本，一旦写错，你的分析结果可能全乱套。我建议先在副本上测试。
知识体系图：脚本框架的核心逻辑
下面这张图帮你理清Ghidra脚本框架的整体结构：
从这张图你能看到，脚本管理器在最上层，负责调度。中间是Python或Java脚本，它们通过GhidraScript API与底层程序数据库交互。说白了，你写的每一行脚本，最终都是在操作这个数据库——读取指令、修改数据、添加注释等等。
实战建议：从Hello World到生产力工具
写完了Hello World，下一步怎么走？我建议你：
- 先读官方示例：Ghidra安装目录下有个
Features/DevTools/ghidra_scripts/文件夹，里面全是官方示例脚本。我当年就是靠读这些脚本学会的。 - 从模仿开始：找一个你需要的功能（比如批量导出函数名），找到类似的示例脚本，改一改就能用。
- 善用API文档：Ghidra的API文档在
docs/GhidraAPI_javadoc.zip里，解压后就能看。虽然文档写得不算特别好，但够用。 - 调试技巧：在脚本里加
println()是最直接的调试方式。如果遇到诡异问题，试试重启Ghidra——别笑，这招真管用。
个人经验：我习惯在脚本开头加一段 if __name__ == '__main__': 的测试代码，这样既能在Ghidra里跑，也能在命令行单独测试逻辑。虽然Jython不支持直接命令行跑，但至少代码结构清晰。
好了，这一章的内容就到这里。脚本基础打牢了，后面咱们才能玩更高级的数据流分析。记住：写脚本不是为了炫技，是为了解决实际问题。你每写一个脚本，都应该问自己：「这个脚本能帮我省多少时间？」如果答案是「很多」，那就值得写。