REA oder Ghidra: Welcher Reverse-Engineering-Ablauf passt?

Nutze Ghidra, wenn du ein Analyseprojekt für eine native Binärdatei direkt erkunden und bearbeiten möchtest. Nutze REA, wenn ein Coding-Agent oder eine CLI Software untersuchen und Ergebnisse mit Belegen liefern soll. REA kann Ghidra als nativen Analyseanbieter verwenden; beide Werkzeuge können also Teil desselben Ablaufs sein.

Dies ist ein unabhängiger Community-Vergleich. Das REA-Repository und das Ghidra-Repository sind die Primärquellen für aktuelle Funktionen und Voraussetzungen.

Was unterscheidet REA und Ghidra?

Ghidra ist ein Framework für Software-Reverse-Engineering mit Disassembly, Dekompilierung, Graphen, Skripten und interaktiver oder automatisierter Analyse. Ghidras eigene Analyseumgebung gibt dem Analysten direkte Kontrolle über die Untersuchung. Das offizielle Ghidra-README beschreibt die Unterstützung von Prozessoren, ausführbaren Formaten und Erweiterungen.

REA ist ein MCP-Server mit CLI für mehrere Zielgruppen, darunter native Binärdateien, JavaScript/Electron-Anwendungen, Browserseiten und verwaltete Assemblies. Ein Coding-Agent ruft REAs Werkzeuge auf, erhält Ergebnisse und Einschränkungen und entscheidet über den nächsten Untersuchungsschritt. Für tiefe native Analysen verbindet sich REA mit einer unterstützten Installation von Ghidra, Hopper oder IDA. REAs Anleitung zur nativen Analyse erklärt dieses Anbieterverhältnis.

Was brauchst du?	Besserer Einstieg	Eingabe	Ausgabe oder Vorteil
Funktionen und Graphen einer Binärdatei manuell verfolgen	Ghidra direkt	Unterstützte Binärdatei	Vollständige interaktive Analyseumgebung und direkte Projektkontrolle
Einen Agenten fragen, warum sich eine native Funktion auf bestimmte Weise verhält	REA mit unterstütztem nativen Analyseanbieter	Binärdatei und eingegrenzte Frage	Agentengestützte Ergebnisse, Belege und Erklärung
Ein Analyseprojekt langfristig erhalten und weiterentwickeln	Ghidra direkt	Importiertes Programm und Analystenänderungen	Dauerhafter Projektablauf unter deiner Kontrolle
Ein Electron-Modul oder einen IPC-Pfad untersuchen	REAs JavaScript-Ablauf	App-Verzeichnis oder ASAR	Module, Beziehungen und Fundstellen ohne native Engine
Wiederholbare native Analysen skripten	Beide, je nach benötigter Kontrolle	Binärdatei und Analyseskript oder CLI-Anfrage	Ghidra-Skripte oder strukturierte CLI-Ergebnisse von REA

Wann ist Ghidra die bessere Wahl?

Wähle Ghidra direkt, wenn die Arbeit kontinuierliche visuelle Erkundung, detaillierte Analystenänderungen, eigene Skripte oder eine dauerhafte Programmdatenbank erfordert. Ghidras eigene Oberfläche macht das Analyseprojekt selbst zugänglich. Erfahrene Analysten können Anweisungen und Graphen untersuchen, ohne jede Aktion in eine Agentenanfrage zu übersetzen.

REA mit Ghidra macht nicht jede Ghidra-Funktion über MCP verfügbar. Die REA-Anbieterdokumentation beschreibt überprüfte Operationen und Host-Einschränkungen. REAs dokumentierter Headless-Ablauf nutzt ein temporäres Projekt; er öffnet nicht dein vorhandenes Nutzerprojekt. Bevorzuge Ghidras direkte Oberfläche, wenn die Pflege dieses vorhandenen Projekts erforderlich ist.

Ghidra hat auch eigene automatisierte und skriptgestützte Abläufe. Die Aussage, Ghidra sei rein manuell, wäre falsch. REAs nützlicher Unterschied ist die gemeinsame Agenten- und CLI-Schnittstelle über Zieltypen hinweg, nicht ein exklusiver Zugang zur Automatisierung.

Wann ist REA der bessere Einstieg?

REA ist nützlich für eine eingegrenzte Frage, die von der Untersuchung zur Implementierung führt. Ein Agent kann beispielsweise eine Berechnung untersuchen, relevante Anweisungen und Referenzen identifizieren, eine Regel erklären und anschließend eine kleine Implementierung zum Testen schreiben. Die Schlussfolgerung des Agenten muss weiterhin am Originalverhalten geprüft werden.

Die offizielle DX-Ball-Fallstudie verfolgt einen Soundaufruf bis zu einer Hilfsfunktion, die eine Position in das Stereo-Panorama umrechnet, und rekonstruiert die Berechnung in C. Das Projekt berichtet von 3,205 Testfällen am ursprünglichen x86-Code und einer Übereinstimmung aller 63 kompilierten Funktionsbytes. Diese Ergebnisse gelten für dieses konkrete Beispiel; sie belegen weder eine allgemeine Erfolgsquote von REA noch einen Leistungsvorteil gegenüber Ghidra.

REA bietet auch Abläufe außerhalb nativer Dekompilierung. Bei einer Electron-Anwendung kann statische JavaScript-Analyse Module und IPC-Beziehungen identifizieren, ohne Ghidra zu starten. Das macht REA zu einem praktischen Einstieg, wenn deine Untersuchung Anwendungspaketierung, JavaScript und ausgewählte native Komponenten umfasst. REAs Zieltabelle nennt die jeweiligen Voraussetzungen.

Wie verwendest du Ghidra über REA?

Installiere eine Ghidra-Version und ein JDK, die die REA-Anbieterdokumentation unterstützt, und konfiguriere REA für diese Installation. Die REA-Einrichtung kann überprüfte vorhandene Pfade speichern; sie lädt Ghidra oder Java nicht für dich herunter und installiert sie nicht. Die offizielle Einrichtungsanleitung enthält die aktuellen Konfigurationsschritte.

Gehe nicht davon aus, dass die neueste Ghidra-Version automatisch mit deinem installierten REA-Paket kompatibel ist. Ghidras eigene aktuelle Versionsanforderungen und REAs getesteter Anbieterbereich erfüllen unterschiedliche Zwecke. Zum Datum dieses Artikels beschreibt REAs Installationsanleitung auf dem main-Branch eine Anbieterprüfung für Ghidra 12.1.x. Prüfe diese Anleitung und die Fähigkeiten des installierten Servers, bevor du Versionen auswählst.

Nach der Anbieterkonfiguration kannst du diese gezielte Diagnose ausführen:

npx -y rea-agents@latest doctor --provider ghidra --json

Ghidra-gestützte Operationen können bei der ersten Anfrage Zeit für Import und automatische Analyse benötigen. Große Binärdateien können eine längere Startfrist für den Anbieter erfordern, während ein MCP-Client eine eigene kürzere Anfragefrist haben kann. Nutze bei der Diagnose die dokumentierten Hinweise zu Fristen und Wiederherstellung.

Welche Grenzen sollten deine Entscheidung beeinflussen?

REAs Anbieterunterstützung hängt von Host und Ziel ab. Die Windows-Ghidra-P0-Grenze ist ausdrücklich experimentell und enger als Ghidras allgemeine Plattform- und Formatunterstützung. Lies die Windows-Anbieteranleitung, statt Kompatibilität daraus abzuleiten, dass Ghidra eine Datei manuell importieren kann.

Der REA-main-Branch kann auch neuere Funktionen beschreiben als das von @latest installierte npm-Paket. Eine funktionierende Paketversion allein belegt nicht, dass jede main-Branch-Operation verfügbar ist. Prüfe die Veröffentlichungsgrenze und die verbundenen Werkzeugschemas.

Beide Abläufe erfordern Urteilsvermögen. Dekompilierter Pseudocode ist kein Originalquellcode, indirektes Verhalten kann ungeklärt bleiben, und ein Coding-Agent kann korrekte Belege falsch interpretieren. Bestätige wichtige Schlussfolgerungen anhand relevanter Anweisungen, Referenzen und einer kontrollierten Verhaltensprüfung.

Welche Fragen werden zu REA und Ghidra gestellt?

Ersetzt REA Ghidra?

REA kann Ghidra als Engine nutzen und ersetzt Ghidras vollständige interaktive Umgebung nicht. Wähle die zur Aufgabe passende Schnittstelle oder kombiniere beide.

Ist eines der Werkzeuge kostenlos?

Von REA verfasster Code steht unter der MIT-Lizenz. Ghidra ist ein Open-Source-Projekt mit veröffentlichter Lizenz und Drittanbieterhinweisen. Modellzugang für Coding-Agenten und optionale kommerzielle Anbieter wie Hopper oder IDA haben eigene Bedingungen. Siehe REAs Lizenz und Ghidras Lizenz.

Kann ich JavaScript ohne Ghidra untersuchen?

Ja. REAs statischer JavaScript/Electron-Ablauf nutzt Node.js und npm, keinen nativen Decompiler. Ein natives Add-on in dieser App ist ein separates Analyseziel mit eigenen Voraussetzungen.

Welches Werkzeug sollten Einsteiger zuerst ausprobieren?

Um Assembly und manuelle Binäranalyse zu lernen, beginne mit Ghidras eigenen Materialien. Für eine fragengeleitete Agentenuntersuchung starte mit REAs Notes-Beispiel oder unserem REA-Einrichtungsleitfaden. Ein kleineres Ziel und eine überprüfbare Frage machen beide Wege leichter bewertbar.