Depurador de Ghidra: iniciar, adjuntar y avanzar por el código

¿Ghidra tiene un depurador?

Sí. Ghidra tiene un marco de depuración que puede iniciar o conectar un objetivo activo, registrar una traza, mostrar registros y memoria y permitir el avance con puntos de interrupción. El depurador no sustituye a Decompiler: Decompiler interpreta el programa de forma estática, mientras que el depurador observa un estado concreto de una ejecución.

En una primera sesión piensa en tres vistas conectadas. GDB u otro agente controla el proceso, Ghidra registra los cambios como una traza y el programa estático aporta nombres, funciones y contexto. Las conclusiones más útiles comparan las tres vistas, en vez de confiar en un solo panel.

Prepara Ghidra, GDB y un laboratorio seguro

La verificación del sitio del 6 de agosto de 2026 encontró Ghidra 12.1.2 en la versión oficial de NationalSecurityAgency/ghidra. Se publicó el 5 de junio de 2026 y mantiene el requisito de JDK 21 de 64 bits indicado en la guía de instalación. Instala primero el archivo oficial y comprueba que Ghidra abre antes de investigar el depurador.

Los ejemplos usan conceptos de un objetivo nativo y GDB. Los campos exactos cambian según el sistema y el agente, pero las decisiones son las mismas: elegir arquitectura, usar una ruta sencilla, registrar argumentos y distinguir entre iniciar localmente, adjuntarse a un proceso o conectar un servidor GDB remoto.

• Usa un ejecutable pequeño con entrada y salida previsibles.
• Guarda el original, su hash y el proyecto de Ghidra en carpetas separadas.
• Empieza con análisis estático si el objetivo es desconocido; ejecutar código no es obligatorio.
• Consulta el curso oficial del depurador de Ghidra para ejemplos de agentes concretos.

Inicia un objetivo con el depurador de Ghidra

Crea un proyecto no compartido e importa el ejecutable de práctica para que Ghidra prepare la vista estática. Después abre la herramienta Debugger. En la primera pasada no necesitas recuperar el código fuente perfecto: comprueba que el objetivo inicia, que la arquitectura es correcta y que la traza recibe un estado útil.

Elige el lanzador local de GDB y revisa cada campo antes de pulsar Launch. Image es el archivo, Arguments son los argumentos exactos, gdb selecciona el ejecutable y Architecture y Endian deben coincidir con la muestra. Si hay dudas, verifica el formato antes de repetir un lanzamiento incorrecto.

1. 1

   Crea el proyecto

   Abre la ventana de proyectos, elige File > New Project, selecciona Non-Shared Project y usa una carpeta de laboratorio. Importa el mismo archivo que vas a iniciar.

2. 2

   Abre Debugger

   Inicia la herramienta Debugger y elige la acción del agente que corresponda. Mantén abierto el programa estático para compararlo con la traza.

3. 3

   Revisa el lanzador

   Configura ruta, argumentos, comando GDB, arquitectura, endianess y terminal si hace falta. Para la primera prueba evita espacios y caracteres especiales en la ruta.

4. 4

   Inicia y pausa

   Inicia el objetivo, espera la primera parada y confirma que aparecen hilo, contador de programa, Listing y consola antes de avanzar.

Adjúntate a un proceso o conecta un objetivo remoto

Iniciar coloca el objetivo bajo control del depurador. Adjuntarse comienza con un proceso ya activo y una conexión remota usa un agente como GDB server. Estos modos añaden permisos, arquitectura, mapas de memoria y variables de red. Haz funcionar primero un lanzamiento local antes de cambiar al modo attach o remoto.

Para adjuntarte, identifica el proceso dentro de un laboratorio autorizado, elige el conector apropiado y confirma su arquitectura. En un objetivo remoto verifica host, puerto, versión del servidor, símbolos y límite de confianza. Una conexión puede tener éxito aunque falten registros, memoria o módulos en la traza.

1. 1

   Elige el modo

   Usa Launch para un proceso local nuevo, Attach para uno local existente o un flujo remoto para GDB server u otro agente compatible.

2. 2

   Haz coincidir el objetivo

   Comprueba procesador, endianess, sistema operativo y espacio de direcciones. Carga símbolos compatibles si el objetivo está despojado u optimizado.

3. 3

   Valida la primera parada

   Revisa hilo, contador, módulos y consola. Si solo aparece un mensaje de conexión, la sesión aún no está lista.

Entiende el espacio de trabajo del depurador

El espacio de trabajo muestra varias versiones del mismo estado de ejecución. Comienza por el contador de programa y el hilo seleccionado; después usa los paneles cercanos para responder una pregunta concreta. Abrir todas las vistas a la vez suele ocultar la causa del problema en una primera sesión.

Registers es una instantánea, no una explicación de alto nivel. Un registro cambiado indica qué observó el objetivo en una parada. Comprueba por qué cambió leyendo la instrucción en Listing, la pila o memoria y la relación entre llamador y llamado en el programa estático.

Usa puntos de interrupción y avanza por el código

Un punto de interrupción solo sirve si puedes explicar por qué detiene el objetivo. Empieza por la entrada, una función conocida o una rama relacionada con la entrada de prueba. Después usa Resume para continuar, Interrupt para recuperar el control, Step Into para entrar en una llamada, Step Over para mantener el nivel actual y Step Out para volver al llamador.

Si el punto aparece pero nunca es efectivo, comprueba si el módulo está cargado, si la dirección está mapeada, si los permisos permiten la parada y si el enlace entre estado dinámico y programa estático es correcto. Una función optimizada o inline puede requerir una instrucción cercana.

• Empieza con un solo punto de interrupción.
• Anota contador, hilo y registro relevante antes de avanzar.
• Después de cada parada importante registra entrada, rama, memoria y conclusión.
• Elimina o desactiva puntos temporales antes de compartir el proyecto.

Relaciona el estado vivo con CodeBrowser y Decompiler

El depurador resulta más útil cuando la traza y el programa estático están relacionados. Usa contador, módulo, función y bytes para encontrar el mismo código en CodeBrowser. Después trata Decompiler como una hipótesis: muestra un flujo probable, pero debes comprobarlo contra Listing y el estado vivo.

Esta conexión distingue al depurador de una terminal GDB aislada. GDB controla la ejecución, mientras Ghidra mantiene la traza junto a símbolos, bloques de memoria, referencias y contexto decompilado. Si el enlace no coincide, revisa base del módulo, arquitectura, relocación y programa importado.

1. 1

   Localiza la dirección

   Usa contador o punto de interrupción para identificar módulo y dirección actuales.

2. 2

   Encuentra la coincidencia estática

   Abre la ubicación en CodeBrowser y confirma bytes, límites de función y mapa del módulo.

3. 3

   Explica el comportamiento

   Compara Listing, Decompiler, registros, memoria y pila; separa lo observado de lo inferido.

Problemas comunes del depurador de Ghidra

La mayoría de los fallos iniciales son desajustes de configuración, no ausencia de la función. Cambia una sola variable y conserva la salida de la consola. Una muestra pequeña y conocida ayuda a probar la cadena completa antes de usar un objetivo complejo.

Una conexión exitosa tampoco demuestra que la sesión esté lista. Confirma hilo, contador, módulos y al menos un panel de estado con datos. Si el objetivo no tiene símbolos o está muy optimizado, dedica tiempo a símbolos y mapeo de direcciones.

Qué aprender después de la primera sesión

Repite el mismo ciclo de inicio y parada en dos o tres programas pequeños y autorizados antes de probar un objetivo remoto o con muchos hilos. Practica explicar una rama desde la entrada, pasando por el punto de interrupción, hasta el cambio de registro o memoria y la función estática correspondiente.

Usa el tutorial de Ghidra para principiantes para crear proyectos, ejecutar Auto Analysis y seguir referencias. Consulta la guía de Decompiler para mejorar nombres y tipos, y vuelve a la guía de instalación si el problema real es JDK o el lanzador. El curso oficial del depurador cubre detalles de agentes concretos.