Was ist GhidraMCP?
GhidraMCP von der Sicherheitsforscherin LaurieWired verbindet MCP-Clients mit Ghidra, der von der NSA veröffentlichten Open-Source-Suite für Reverse Engineering. Eine Ghidra-Erweiterung stellt Ghidras Analyse über einen lokalen HTTP-Server bereit, und ein Python-MCP-Server reicht sie an das Modell weiter. Mit rund 11.500 GitHub-Sternen ist es das Ghidra-MCP-Projekt mit den meisten Sternen.
Nach unserer Lektüre des Quellcodes stellt der Server 30 Tools bereit. Sie listen Funktionen, Klassen, Imports, Exports, Strings und Segmente auf, dekompilieren oder disassemblieren Funktionen, folgen Querverweisen und lesen Speicher, und sie schreiben ins Projekt zurück, indem sie Funktionen, Daten und Variablen umbenennen, Prototypen und Typen setzen und Kommentare hinzufügen.
Version 2.0, veröffentlicht am 10. Oktober 2026, zielt auf Ghidra 12.1.4, entfernt das separate Python-Bridge-Skript und ergänzt einen Headless-Modus, der eine Binärdatei mit PyGhidra ohne Ghidra-Fenster importiert und analysiert. Ghidra 12.2 erschien am 22. Oktober 2026, und bis dahin war kein passender GhidraMCP-Build veröffentlicht. Installiere die Erweiterung aus dem Release-Zip und starte den Server dann mit uvx aus dem Git-Repository.
GhidraMCP installieren
uvx --from git+https://github.com/LaurieWired/GhidraMCP ghidra-mcp --ghidra-server http://127.0.0.1:8080/Lohnt sich GhidraMCP?
Reverse Engineering passt gut zu einem Assistenten: Ein großer Teil der Arbeit besteht darin, dekompilierte Funktionen zu lesen, zu erraten, was sie tun, und Dinge umzubenennen, damit die nächste Funktion Sinn ergibt. GhidraMCP gibt dem Modell genau diese Handgriffe, und dank der Tools für Umbenennungen, Typen und Kommentare werden seine Schlüsse im Ghidra-Projekt gespeichert, statt in einem Chatverlauf verloren zu gehen.
Das Projekt hatte eine lange stille Phase, ohne Commits zwischen Juni 2025 und dem 10. Oktober 2026, während Forks wuchsen. Version 2.0 baute es für Ghidra 12.1.4 neu, machte die Python-Seite mit uvx installierbar und ergänzte einen Headless-Modus für Batch-Triage oder CI. Der Haken ist die Versionsbindung. Die Erweiterung ist für ein bestimmtes Ghidra-Release gebaut, und Ghidra 12.2 erschien am 22. Oktober, zwölf Tage nach GhidraMCP 2.0. Wer Ghidra aktualisiert, wartet also auf einen neuen Build oder kompiliert die Erweiterung mit Gradle.
Die wichtigste Alternative, bethington/ghidra-mcp (rund 5.900 Sterne), veröffentlichte am 21. Oktober 2026 Version 7.0.0 mit 209 Tools, darunter Skriptausführung, P-Code-Emulation und Live-Debugging. Sie kann weit mehr, aber Skriptausführung bedeutet, dass das Modell beliebigen Code in Ghidra ausführen kann, und 209 Tool-Definitionen belegen bei jeder Anfrage einen großen Teil des Kontexts. GhidraMCP hört beim Lesen und Annotieren auf, eine vertretbare Grenze für die Arbeit mit Malware.
Das Backend von Version 2.0 bindet an die Loopback-Adresse und lehnt Anfragen ab, deren Host-Header nicht localhost ist, was DNS-Rebinding-Tricks aus einem Browser blockiert. Eine Authentifizierung gibt es weiterhin nicht, jeder lokale Prozess kann es also steuern, und der optionale Streamable-HTTP-Modus sollte wie im README gezeigt auf 127.0.0.1 bleiben. Das größere Risiko sind die Daten: Dekompilierter Code geht an den Modellanbieter, den der Client nutzt, und Strings aus einer Malware-Probe sind vom Angreifer geschriebener Text im Kontext des Modells. Ein seit Langem offenes Issue (#27) meldet zudem Decompiler-Ausgaben, die von der Ghidra-Oberfläche abweichen.
Wo es sich lohnt
Eine Malware-Analystin in einer Incident-Response-Firma mit 10 Beschäftigten
Eine neue Probe sichten und benannte Funktionen und Kommentare ins Ghidra-Projekt bringen
Bei geöffneter Probe listet das Modell Imports und Strings auf, dekompiliert verdächtige Funktionen, folgt Querverweisen und benennt dabei um. Die Tools sind kostenlos; die eigentlichen Kosten sind Tokens und die Frage, ob Binärdateien von Kunden an ein Cloud-Modell gehen dürfen, was viele IR-Verträge einschränken.
Ein Product Security Engineer, der Firmware-Builds in der CI prüft
Jedes neue Firmware-Image ohne GUI im Batch analysieren
Der Headless-Modus importiert und analysiert jede Binärdatei mit PyGhidra (Python 3.10 bis 3.13, GHIDRA_INSTALL_DIR zeigt auf Ghidra 12.1.4), danach fragt ein Agent Funktionen und Exports ab. Ghidra im Image auf 12.1.4 festhalten, bis ein Build für 12.2 erscheint.
Ein Student, der Übungen zum Reverse Engineering durcharbeitet
Verständliche Erklärungen bekommen, was die Funktionen eines Crackmes tun
Claude Desktop oder Claude Code mit dem GUI-Plugin kombinieren, Erklärungen zu dekompilierten Funktionen anfordern und das Modell Namen vorschlagen lassen. Abgesehen vom Modell kostenlos; die Umbenennungen mit der Ghidra-Oberfläche abgleichen, da Berichten zufolge die Plugin-Ausgabe abweichen kann.
Bevor du dich festlegst
- Einrichtung
- Ghidra 12.1.4 installieren, das Release-Zip über File > Install Extensions hinzufügen und das Plugin aktivieren, dann den Client auf uvx --from git+https://github.com/LaurieWired/GhidraMCP ghidra-mcp --ghidra-server http://127.0.0.1:8080/ verweisen. Das README zeigt Konfigurationen für Claude Desktop und Claude Code.
- Integrationen
- 30 Tools: 22 lesende (Programminfos, Funktionen, Klassen, Namespaces, Segmente, Imports, Exports, Strings, Daten, Dekompilieren, Disassemblieren, Querverweise, read_memory) und 8, die ins Projekt schreiben (Umbenennungen, Prototypen, Typen lokaler Variablen, Kommentare in Decompiler und Disassembly). Keine Skriptausführung und kein Debugger.
- Daten und Datenschutz
- Das Plugin-Backend bindet an 127.0.0.1 und prüft den Host-Header, hat aber keine Authentifizierung. Dekompilierter Code und Strings gehen an den Modellanbieter des Clients, und Strings aus feindlichen Binärdateien sind nicht vertrauenswürdige Eingaben. Es sind keine Sicherheitshinweise veröffentlicht.
- Kosten im großen Maßstab
- Kostenlos unter Apache 2.0, genau wie Ghidra. Die Kosten liegen in der Modellnutzung: Dutzende Funktionen pro Binärdatei zu dekompilieren summiert sich in Tokens, und für Binärdateien, die das Netzwerk nicht verlassen dürfen, ist ein lokales Modell der Weg.
- Grenzen
- Gebaut für Ghidra 12.1.4, während 12.2 aktuell ist. Das Repository hat 94 offene Issues und Pull Requests, viele zu Installation und Versionskonflikten, und Issue #27 meldet Decompiler-Ausgaben, die von der Oberfläche abweichen. Der Headless-Modus braucht Python 3.10 bis 3.13.
Was gut ist
- Dekompilieren, Querverweise und Annotieren aus einem Client
- Umbenennungen, Typen und Kommentare werden im Ghidra-Projekt gespeichert
- Headless-Modus mit PyGhidra für Analysen ohne GUI
- 30 Tools und kein Skript-Runner
Was nicht
- Jedes Release ist an eine Ghidra-Version gebunden; 12.2 wird noch nicht unterstützt
- Vor 2.0 vergingen 16 Monate ohne Commits
- Keine Authentifizierung am lokalen HTTP-Server
- Weit weniger Funktionen als der Fork von bethington
Am besten für
Malware-Analysten und Reverse Engineers, die einen Assistenten Binärdateien in Ghidra sichten und annotieren lassen wollen.
Alternativen zu GhidraMCP
GhidraMCP: häufige Fragen
- Lohnt sich GhidraMCP?
- GhidraMCP gibt einem Modell die Kernhandgriffe des Reverse Engineers und speichert seine Schlüsse im Projekt, mit 30 Tools, wo sein größter Fork 209 mitbringt. Wir bewerten es mit 4.1 von 5.
- Was kostet GhidraMCP?
- Kostenlos und Open Source (Apache 2.0). Ghidra selbst ist kostenlos.
- Welche Nachteile hat GhidraMCP?
- Jedes Release ist an eine Ghidra-Version gebunden; 12.2 wird noch nicht unterstützt; Vor 2.0 vergingen 16 Monate ohne Commits; Keine Authentifizierung am lokalen HTTP-Server; Weit weniger Funktionen als der Fork von bethington.
- Für wen eignet sich GhidraMCP?
- Malware-Analysten und Reverse Engineers, die einen Assistenten Binärdateien in Ghidra sichten und annotieren lassen wollen.
- Was kostet GhidraMCP für ein Team oder im Produktivbetrieb?
- Kostenlos unter Apache 2.0, genau wie Ghidra. Die Kosten liegen in der Modellnutzung: Dutzende Funktionen pro Binärdatei zu dekompilieren summiert sich in Tokens, und für Binärdateien, die das Netzwerk nicht verlassen dürfen, ist ein lokales Modell der Weg.
- Ist GhidraMCP sicher für Firmendaten?
- Das Plugin-Backend bindet an 127.0.0.1 und prüft den Host-Header, hat aber keine Authentifizierung. Dekompilierter Code und Strings gehen an den Modellanbieter des Clients, und Strings aus feindlichen Binärdateien sind nicht vertrauenswürdige Eingaben. Es sind keine Sicherheitshinweise veröffentlicht.
- Was sind die besten Alternativen zu GhidraMCP?
- Die nächsten Alternativen, die wir getestet haben, sind Filesystem (reference server), GitHub MCP Server und REA (Reverse Engineer Anything).
Antworten geprüft am 22. Okt. 2026.