Ghidra 接入 MCP 工具完整教程：补齐逆向工程 AI 化的最后一块拼图#

1.1 支持的 MCP 客户端#

1.2 关键限制#

插件仅在 CodeBrowser 中运行，不工作在 Project Manager。必须先导入并打开一个二进制文件，HTTP 服务器才会启动。默认绑定 127.0.0.1:8080，仅监听本地连接。

2.1 版本要求#

2.2 环境预检查#

1
python --version    # 需 ≥ 3.9
2
java --version      # 仅从源码构建时需要，JDK 21+

3.1 方式一：插件安装（推荐）#

下载 Release

从 GhidraMCP Releases 下载最新版本 ZIP，例如 GhidraMCP-1-2.zip。

安装插件到 Ghidra

1. 启动 Ghidra
2. File → Install Extensions
3. 点击 + 按钮
4. 选择下载的 GhidraMCP-1-2.zip
5. 重启 Ghidra

启用插件

关键步骤：确保你在 CodeBrowser 而非 Project Manager 中操作。

1. 在 Project Manager 中创建一个项目或打开已有项目
2. 导入目标二进制文件（File → Import File）
3. 双击打开 CodeBrowser
4. File → Configure → Developer
5. 勾选启用 GhidraMCPPlugin

插件启用后，HTTP 服务器自动在 http://127.0.0.1:8080/ 启动。

可选配置：通过 Edit → Tool Options → GhidraMCP HTTP Server 修改端口。

安装 Python 依赖

1
pip install mcp requests

3.2 方式二：从源码构建#

如果你需要自行构建（例如适配不同 Ghidra 版本）：

1. 从 Ghidra 安装目录复制以下 JAR 文件到项目的 lib/ 目录：

   • Ghidra/Features/Base/lib/Base.jar
   • Ghidra/Features/Decompiler/lib/Decompiler.jar
   • Ghidra/Framework/Docking/lib/Docking.jar
   • Ghidra/Framework/Generic/lib/Generic.jar
   • Ghidra/Framework/Project/lib/Project.jar
   • Ghidra/Framework/SoftwareModeling/lib/SoftwareModeling.jar
   • Ghidra/Framework/Utility/lib/Utility.jar
   • Ghidra/Framework/Gui/lib/Gui.jar

2. 构建：

1
mvn clean package assembly:single

生成的 ZIP 文件位于 target/ 目录，包含 GhidraMCP.jar、extension.properties 和 Module.manifest。

4.1 Claude Desktop#

编辑 Claude Desktop 配置文件（或通过 Claude → Settings → Developer → Edit Config）：

1
{
2
  "mcpServers": {
3
    "ghidra": {
4
      "command": "python",
5
      "args": [
6
        "/ABSOLUTE_PATH_TO/bridge_mcp_ghidra.py",
7
        "--ghidra-server",
8
        "http://127.0.0.1:8080/"
9
      ]
10
    }
11
  }
12
}

配置文件路径（macOS）：~/Library/Application Support/Claude/claude_desktop_config.json

配置完成后重启 Claude Desktop，应在聊天界面看到 Ghidra 工具集。

4.2 Cline#

Cline 需要通过 SSE 传输协议手动启动桥接：

1
python bridge_mcp_ghidra.py --transport sse --mcp-host 127.0.0.1 --mcp-port 8081 --ghidra-server http://127.0.0.1:8080/

然后在 Cline 中添加远程服务器：

• Server Name: GhidraMCP
• Server URL: http://127.0.0.1:8081/sse

4.3 5ire#

在 5ire 中进入 Tools → New：

5.1 反编译与分析#

5.2 重命名与注释#

5.3 交叉引用#

5.4 搜索#

6.1 一键标注恶意软件#

将可疑 EXE 导入 Ghidra，在 AI 客户端输入：

我刚刚加载了一个 32 位的 dropper 样本。请完成以下操作：

1. 反编译 main 函数
2. 根据分析结果重命名每个函数
3. 为每个函数添加一句话注释
4. 高亮所有看起来像 C2 地址的字符串

AI 会依次调用 list_functions → 遍历 → decompile_function → 自动命名（如 download_payload、decode_base64、persist_registry）→ rename_function → set_comment → search_strings("http")。

效果：人工 45 分钟的工作缩短为 30 秒的提示词输入。

6.2 跨二进制调用链追踪#

当一个固件解包为多个独立二进制（bootloader、kernel、用户态辅助程序）：

追踪 “upgrade” 命令从 Web UI 到 flash-write 的完整调用路径，包括跨二进制调用。

AI 会在不同二进制间切换，追踪完整的控制流。

6.3 批量反编译分析#

反编译所有名称包含 “crypto” 的函数，总结这个二进制的加密逻辑。

AI 会批量调用 search_functions_by_name("crypto") → 逐个 decompile_function → 汇总分析结果。