Formation Ghidra

Programme de notre formation Ghidra

[Jour 1 – Matin]

Fondamentaux du reverse engineering avec Ghidra

• Rôle de Ghidra dans le reverse engineering et l analyse statique de malwares
• Panorama des formats exécutables, architectures processeur et informations disponibles dans un binaire
• Installation, configuration de l espace de travail et organisation des projets Ghidra
• Importation d un exécutable, choix du langage processeur et paramètres d analyse automatique
• Découverte du CodeBrowser, des vues Listing, Symbol Tree, Program Trees et Memory Map

[Jour 1 – Après-midi]

Lire et qualifier le code désassemblé

• Principes de lecture de l assembleur x86 et x64, registres, pile et conventions d appel
• Différences entre code, données, chaînes, imports, exports et ressources
• Navigation par références croisées, recherches de chaînes et identification des fonctions importantes
• Utilisation des bookmarks, labels, commentaires et regroupements pour tracer l analyse
• Atelier pratique : importer un exécutable pédagogique, repérer son point d entrée, ses imports et ses chaînes significatives.

[Jour 2 – Matin]

Décompiler et reconstruire la logique applicative

• Fonctionnement et limites du décompilateur, relation entre pseudo code et assembleur
• Identification des paramètres, variables locales, valeurs de retour et appels de fonctions
• Renommage des symboles et fonctions pour construire une nomenclature compréhensible
• Application de types, structures, énumérations et signatures pour améliorer le pseudo code
• Analyse des graphes de flux de contrôle, embranchements, boucles et chemins d exécution

[Jour 2 – Après-midi]

Analyser les comportements suspects

• Méthode de triage statique pour prioriser les zones pertinentes d un échantillon
• Repérage des mécanismes de persistance, exécution de processus et manipulation de fichiers
• Identification des indicateurs liés aux communications réseau, à la configuration et au chiffrement
• Analyse des techniques d obfuscation simples, des chaînes encodées et du code non atteignable
• Atelier pratique : reconstituer le comportement d un binaire d entraînement et produire une première note d analyse.

[Jour 3 – Matin]

Approfondir et fiabiliser les investigations

• Correction manuelle du désassemblage et redéfinition des zones de code ou de données
• Création et réutilisation de types de données pour clarifier les fonctions complexes
• Utilisation des arbres d appels, des références croisées et des fonctions similaires
• Comparaison de programmes et suivi des évolutions entre deux versions d un binaire
• Bonnes pratiques de traçabilité, hypothèses, niveaux de confiance et restitution technique

[Jour 3 – Après-midi]

Automatiser les analyses avec les scripts

• Présentation du gestionnaire de scripts et des possibilités d automatisation dans Ghidra
• Principes de l API, parcours des programmes, fonctions, symboles et références
• Création de scripts Python pour extraire des informations et enrichir une analyse
• Introduction au mode headless pour traiter plusieurs binaires de manière reproductible
• Atelier pratique : créer un script Python d inventaire des fonctions et chaînes, puis préparer un rapport synthétique sur un échantillon.