Ghidra, le framework de reverse engineering open source de la NSA, est un outil que tous les analystes sécu utilisent au quotidien pour démonter des binaires. Sauf que voilà... quand vous passez des heures à renommer des fonctions, documenter des structures et tracer des cross-references à la main, ça finit par devenir un poil répétitif.

Du coup, un développeur a eu l'idée de coller un serveur MCP (Model Context Protocol) directement sur Ghidra. "Encore un wrapper IA bidon ??"... mais non les amis car Ghidra MCP Server est un bridge Python + plugin Java qui expose pas moins de 110 outils d'analyse via le protocole MCP. Rien que ça.

Concrètement, ça veut dire que vous pouvez brancher Claude, ou n'importe quel outil compatible MCP, directement sur votre session Ghidra et lui demander de décompiler des fonctions, tracer des call graphs, renommer des variables en batch ou même créer des structures de données automatiquement.

Au niveau architecture, un plugin Java tourne dans Ghidra et expose une API REST sur localhost:8089, puis un bridge Python fait la traduction entre le protocole MCP et ces endpoints HTTP. Vous lancez Ghidra, vous activez le serveur via Tools > GhidraMCP > Start MCP Server, et hop, votre IA peut causer directement avec le décompileur.

Et c'est pas juste de la décompilation basique. Y'a de l'analyse de structures, de l'extraction de strings, du mapping mémoire complet, de la gestion de scripts Ghidra (plus de 70 scripts d'automatisation livrés avec le projet !) et même un système de documentation cross-binaire.

En gros, vous analysez un malware, vous documentez toutes les fonctions, et si vous tombez sur une variante plus tard, l'outil transfère automatiquement votre doc via un système de hash SHA-256 sur les opcodes. Plutôt chouette ! En revanche, ça marche pas si le code est fortement obfusqué... logique.

Bon, pour ceux qui connaissent déjà OGhidra (qui fait tourner des LLM en local dans Ghidra), Ghidra MCP Server c'est l'approche inverse. Au lieu d'embarquer l'IA dans Ghidra, c'est Ghidra qui s'ouvre à l'IA via un protocole standardisé. Du coup vous n'êtes pas limité à un seul modèle... Claude, GPT, Gemini, n'importe quel client MCP fait l'affaire.

Côté prérequis, faut Java 21, Maven 3.9+, Python 3.10+ et évidemment Ghidra 12.0.2. L'install se fait en quelques étapes : cloner le repo, pip install, copier les libs Ghidra dans lib/, compiler avec Maven et déployer le zip dans les extensions. Rien de bien sorcier si vous êtes déjà dans l'écosystème... sauf si vous êtes sous Windows, là faudra peut-être un peu galérer avec Maven.

Les opérations batch sont par exemple très intéressantes... Avec cette fonctionnalité, vous pouvez renommer 50 variables d'un coup, poser des commentaires sur toutes les fonctions d'un module, typer des paramètres en série.

Bref, si vous faites de l'analyse de binaires et que vous voulez arrêter de tout vous taper à la main, c'est le genre de combo reverse engineering + IA qui va vous faire gagner pas mal de temps !

L'autre jour, je m'amusais à regarder ce qu'une petite application Android que j'avais installée envoyait comme infos à ses serveurs , et j'ai encore galéré avec une tripotée d'outils différents. Entre ADB pour récupérer le fichier, Apktool pour le désassembler, Jadx pour lire le code et les scripts de signature à rallonge, y'a de quoi se taper la tête contre les murs. On est en 2026, et le reverse engineering Android ressemble encore parfois à de la spéléologie sans lumière dans une grotte remplie de goudron.

Puis c'est là que je suis tombé sur apk.sh, et ça m'a sauvé ma soirée. C'est un script Bash tout simple, mais qui joue le petit chef d'orchestre pour automatiser toutes les tâches les plus chiantes : le pull, le décodage, la reconstruction, le patching et le renommage d'APK. Ça vous mâche le travail sur toute la partie technique pour que vous n'ayez plus qu'à faire un petit adb install à la fin... et voilà ! (Sans les "Trenti anni di qualità", évidemment ^^)

Le truc cool, c'est qu'il ne se contente pas de faire du "pull" et du "decode". Il gère également nativement l'injection de gadgets Frida pour faire de l'instrumentation dynamique, et ça, c'est vraiment le pied pour ceux qui veulent voir ce qui se passe en mémoire sans s'arracher les cheveux. Il peut même patcher automatiquement la configuration de sécurité réseau pour vous permettre d'intercepter le trafic HTTPS plus facilement. Par contre attention, si l'appli utilise du certificate pinning bien costaud, ça servira à QUE DALLE.

Si vous avez déjà essayé de décompiler un APK et de le recompiler , vous savez que la moindre erreur de signature ou d'alignement et c'est le drame. Ici, l'outil s'occupe de tout avec apksigner et zipalign de manière transparente. Et pour les plus barbus d'entre vous, il permet même de modifier directement le bytecode DEX via les fichiers smali pour éviter les bugs de décompilation Java qui font parfois pleurer un admin sys.

Pas besoin d'être root pour la plupart des fonctions, et il gère même les fameux bundles (AAB) que Google Play impose désormais et qui se transforment en "split APKs" une fois sur votre téléphone. En gros, vous faites un pull pour récupérer et fusionner tout ça en un seul APK, puis un decode pour obtenir un dossier tout prêt à être exploré.

C'est typiquement le genre d'outil que j'aurais aimé avoir à l'époque où je vous parlais d'Androguard pour analyser des malwares Android . On gagne un temps de fou malade et on peut se concentrer sur ce qui nous intéresse vraiment dans la vie, c'est à dire le fromage à raclette et la sieste comprendre comment ces applis nous pompent nos données ou juste changer la couleur d'un bouton pour le plaisir (ou des trucs qui vous enverront en zonzon ^^).

Bref, si vous aimez mettre les mains dans le cambouis Android, allez jeter un œil à ce projet pour vos prochaines sessions de reverse.

A découvrir ici