3、Ghidra脚本核心API详解：FlatProgramAPI、DecompilerAPI、SymbolTable、FunctionManager

说实话，刚接触Ghidra脚本开发那会儿，我也被一堆API搞得头晕。但用久了你会发现，真正高频使用的核心API就那么几个。今天我就带你把这四个最关键的API吃透——FlatProgramAPI、DecompilerAPI、SymbolTable、FunctionManager。

嗯，咱们一个一个来。

3.1 FlatProgramAPI：你的万能瑞士军刀

FlatProgramAPI，说白了就是Ghidra脚本里最基础的API。它把底层复杂的操作都封装成了简单的方法调用。我个人习惯把它叫做「万能入口」——几乎所有脚本都会用到它。

先看个最简单的例子：

// 获取当前程序对象
def getCurrentProgram():
    return currentProgram

// 读取内存字节
def readBytes(addr, length):
    return getBytes(addr, length)

// 获取函数列表
def getFunctions():
    return currentProgram.getFunctionManager().getFunctions(True)

我在项目中遇到过一个问题：用FlatProgramAPI读取大段内存时，性能会明显下降。后来发现，批量操作比逐字节读取快10倍以上。你想想看，如果逐字节读一个1MB的二进制，那得调用100多万次API，不卡才怪。

3.2 DecompilerAPI：把汇编变回C语言

DecompilerAPI，这是Ghidra最牛的地方。它能把汇编代码反编译成类C语言的伪代码。我刚开始用的时候，真的被震撼到了——这玩意儿太强了。

为什么会这么强？因为Ghidra的反编译器是基于Sleigh中间语言的，它先把你输入的汇编指令转成一种中间表示，然后再做优化和重构。说白了，就是先翻译成「机器能懂的语言」，再转成「人能懂的语言」。

// 获取反编译结果
def decompileFunction(func):
    decompiler = DecompInterface()
    decompiler.openProgram(currentProgram)
    result = decompiler.decompileFunction(func, 30, monitor)
    return result.getDecompiledFunction().getC()

// 获取高亮变量
def getHighlightVariables(func, address):
    decompiler = DecompInterface()
    decompiler.openProgram(currentProgram)
    result = decompiler.decompileFunction(func, 30, monitor)
    high = result.getHighFunction()
    return high.getLocalSymbolMap().getSymbols()

这里有个坑，我曾经踩过——DecompilerAPI的调用是有状态的。每次调用decompileFunction()之前，必须确保openProgram()已经执行过。否则你会得到一个空结果，而且没有任何错误提示。嗯，这设计确实有点坑。

3.3 SymbolTable：符号表，你的命名助手

SymbolTable，就是管理所有符号的地方。函数名、变量名、标签名，全在这里。我习惯把它叫做「命名空间的总管家」。

符号类型	说明	常用方法
函数符号	函数名称和地址的映射	getSymbols()、getGlobalSymbols()
标签符号	用户自定义标签	getLabelSymbols()、createLabel()
变量符号	局部变量和参数	getParameterSymbols()、getLocalVariableSymbols()

// 获取所有符号
def getAllSymbols():
    symbolTable = currentProgram.getSymbolTable()
    symbols = []
    for symbol in symbolTable.getAllSymbols(True):
        symbols.append({
            'name': symbol.getName(),
            'address': symbol.getAddress(),
            'type': symbol.getSymbolType()
        })
    return symbols

// 按名称查找符号
def findSymbolByName(name):
    symbolTable = currentProgram.getSymbolTable()
    return symbolTable.getSymbol(name, None)

我个人习惯在脚本开头先获取SymbolTable的引用，因为后面会频繁用到。你想想看，如果每次用都重新获取一次，代码会变得很啰嗦。

3.4 FunctionManager：函数管理，你的代码地图

FunctionManager，顾名思义，就是管理所有函数的。它提供了遍历、查找、创建、删除函数的能力。我把它比作「代码地图」——有了它，你就能知道整个程序里有哪些函数，它们在哪里，参数是什么。

// 遍历所有函数
def listAllFunctions():
    funcManager = currentProgram.getFunctionManager()
    for func in funcManager.getFunctions(True):
        print(f"函数名: {func.getName()}")
        print(f"起始地址: {func.getEntryPoint()}")
        print(f"参数数量: {func.getParameterCount()}")
        print("---")

// 获取函数调用关系
def getCallGraph(func):
    funcManager = currentProgram.getFunctionManager()
    called = func.getCalledFunctions(monitor)
    calling = func.getCallingFunctions(monitor)
    return {
        'called': [f.getName() for f in called],
        'calling': [f.getName() for f in calling]
    }

这里有个小技巧——getFunctions(True)和getFunctions(False)的区别。True表示返回所有函数（包括库函数），False只返回用户自定义函数。我在做逆向分析时，通常先用False过滤掉库函数，这样能减少很多干扰。

这四个API，你掌握了，Ghidra脚本开发的基本功就算打牢了。剩下的就是多写、多练、多踩坑。嗯，踩坑也是一种学习方式，对吧？