Ghidra如何自动批量将未知字节设置为Unicode/CString字符串

方法1：内置字符串搜索批量转换（最简便，无需代码） #

• 点击顶部菜单栏 Search > For Strings... 打开字符串搜索窗口
• 配置搜索规则：勾选 Search for Unicode Strings，如果需要同时识别ASCII的C字符串可同步勾选Search for ASCII Strings；按需调整最小字符串长度、内存对齐要求、搜索范围（全程序/指定内存段/自定义地址区间）
• 点击搜索后会弹出所有命中的字符串列表，选中所有需要转换的条目，右键选择 Create Data，Ghidra会自动将对应位置的字节批量转换为对应编码的终止字符串类型，无需逐一点击操作。

方法2：选中范围批量定义数据（适合已知待处理内存区间的场景） #

• 在Listing窗格中拖动鼠标，选中所有需要处理的字节范围
• 右键选择 Data > Choose Data Type，在弹出的类型搜索框中输入TerminatedUnicode（处理ASCII C字符串则输入TerminatedCString），选中对应数据类型确认
• Ghidra会自动在选中范围内扫描匹配带终止符的字符串，批量完成类型转换；如果遇到已定义的其他数据，会弹出提示让你选择是否覆盖原有定义。

方法3：自定义脚本批量处理（适合特殊规则场景，自由度最高） #

如果内置扫描规则不符合需求，可以写极简脚本一键完成处理：

• 点击顶部菜单 Window > Script Manager，新建Python类型脚本（编写门槛最低）
• 参考如下核心代码，修改起始、结束地址为实际需要处理的区间即可运行：

from ghidra.program.model.data import TerminatedUnicodeDataType

# 替换为实际待处理区间的起止地址
start_addr = currentProgram.getAddressFactory().getAddress("0x00401000")
end_addr = currentProgram.getAddressFactory().getAddress("0x00420000")
unicode_dt = TerminatedUnicodeDataType()

current_addr = start_addr
while current_addr.compareTo(end_addr) < 0:
    # 仅处理未定义类型的字节位置
    if currentProgram.getListing().getDataAt(current_addr) is None:
        try:
            # 尝试创建TerminatedUnicode类型数据
            currentProgram.getListing().createData(current_addr, unicode_dt)
            # 创建成功后跳过当前字符串的整个长度，避免重复扫描
            created_data = currentProgram.getListing().getDataAt(current_addr)
            current_addr = created_data.getMaxAddress().add(1)
            continue
        except:
            # 不符合Unicode字符串规则的位置直接跳过
            pass
    # Unicode为2字节对齐，步长设为2
    current_addr = current_addr.add(2)

• 点击运行脚本，数秒即可完成整个区间的批量转换。

提示：如果自动扫描存在少量误判结果，在批量创建前删掉误判的条目即可，整体效率远高于手动逐点转换。

相关参考截图：

• 未被识别为Unicode、以字节格式展示的数据
• 单条字节数据手动转换为Unicode的操作示例

内容的提问来源于stack exchange，提问作者Stryker2k2