HexraysToolbox
1.0.0
HexRays Toolbox (HXTB) عبارة عن مجموعة قوية من البرامج النصية Idapython التي يمكن استخدامها للعثور على أنماط التعليمات البرمجية وتحديد موقعها في الثنائيات ، مستقلة عن بنية المعالج الأساسية.
يعد الاستعلام الموضح من قبل الرسوم المتحركة أدناه مثالًا على كيفية وجود ضعف يؤثر على WhatsApp لنظام Android (CVE-2019-3568 ، libwhatsapp.so) باستخدام صندوق أدوات HexRays. يتم ذلك عن طريق صياغة نمط الكود المطلوب الذي سيتم تحديد موقعه باستخدام وظيفة Idapython Lambda. ابحث عن السيناريو المثال
.
مطلوب ترخيص IDA صالح وترخيص Decompiler صالح لكل بنية مستهدفة.
هناك عدة طرق لاستخدام صندوق الأدوات HexRays ، ولكل منها درجة متفاوتة من المرونة.
interactive.py ، وهو برنامج نصي يضيف وظائف الراحة لاستخدامها مع واجهة سطر أوامر IDAautomation.py ، وهو برنامج نصي يعالج ويقوم بتشغيل استعلامات HXTB على مجموعة معينة من الملفات في وضع الدُفعات تنفيذ البرنامج النصي hxtb_shell.py من داخل IDA يفتح نافذة واجهة المستخدم الرسومية التي يمكن استخدامها لتطوير استعلامات HXTB وتحميلها وتشغيلها. توضح لقطة الشاشة أدناه شكل الاستعلام المحمّل بـ hxtb-shell.
يقبل HXTB-Shell أيضًا تعبيرات Python التي يتم إنشاؤها بواسطة عارض سياق HrdevHelper Plugin. يمكن نسخها منها ولصقها مباشرة في واجهة المستخدم الرسومية HXTB-Shell.
يمكن العثور على مزيد من الاستعلامات التي يمكن تحميلها باستخدام HXTB-Shell في مجلد hxtbshell_queries المتضمن مع صندوق الأدوات السداسي.
يقوم تحميل hxtb.py مع IDA (alt-F7) بوظائف مثل find_expr() و find_item() متاحة لكل من Idapython CLI ومترجم البرنامج النصي (shift-F2). من بين أمور أخرى ، يمكن استخدام هذه الوظائف لتشغيل الاستعلامات على قاعدة بيانات IDA المحملة حاليًا. يرجى التحقق من بعض الأمثلة الموضحة أدناه.
find_item(ea, q)
find_expr(ea, q)
Positional arguments:
ea: address of a valid function within
the current database
q: lambda function
custom lambda function with the following arguments:
1. cfunc: cfunc_t
2. i/e: cinsn_t/cexpr_t
Returns:
list of query_result_t objects
Example:
find_expr(here(), lambda cf, e: e.op is cot_call)
-> finds and returns all function calls within a current function.
The returned data is a list of query_result_t objects (see hxtb.py).
The returned list can be passed to an instance of the ic_t class,
which causes the data to be displayed by a chooser as follows:
from idaapi import *
import hxtb
hxtb.ic_t(find_expr(here(), lambda cf,e:e.op is cot_call))
Please find the cfunc_t, citem_t, cinsn_t and cexpr_t structures
within hexrays.hpp for further help and details.
cot_eq
/
x / y
(anything) cot_num --- n.numval() == 0
from idaapi import *
from hxtb import find_expr
query = lambda cfunc , e : e . op is cot_eq and e . y . op is cot_num and e . y . numval () == 0
r = find_expr ( here (), query )
for e in r :
print ( e ) cot_call
/
x /
cot_obj
from idaapi import *
from hxtb import find_expr
query = lambda cfunc , e : e . op is cot_call and e . x . op is cot_obj
r = find_expr ( here (), query )
for e in r :
print ( e )
cot_call --- arg1 is cot_var
/ arg1 is on stack
x /
cot_obj --- name(obj_ea) == 'memcpy'
from idaapi import *
from hxtb import find_expr
r = []
query = lambda cfunc , e : ( e . op is cot_call and
e . x . op is cot_obj and
get_name ( e . x . obj_ea ) == 'memcpy' and
len ( e . a ) == 3 and
e . a [ 0 ]. op is cot_var and
cfunc . lvars [ e . a [ 0 ]. v . idx ]. is_stk_var ())
for ea in Functions ():
r += find_expr ( ea , query )
for e in r :
print ( e ) cot_call --- arg2 ('fmt') contains '%s'
/
x /
cot_obj --- name(obj_ea) == 'sprintf'
from idaapi import *
from hxtb import find_expr
r = []
query = lambda cfunc , e : ( e . op is cot_call and
e . x . op is cot_obj and
get_name ( e . x . obj_ea ) == 'sprintf' and
len ( e . a ) >= 2 and
e . a [ 1 ]. op is cot_obj and
is_strlit ( get_flags ( get_item_head ( e . a [ 1 ]. obj_ea ))) and
b'%s' in get_strlit_contents ( e . a [ 1 ]. obj_ea , - 1 , 0 , STRCONV_ESCAPE ))
for ea in Functions ():
r += find_expr ( ea , query )
for e in r :
print ( e ) from idaapi import *
from hxtb import ic_t
query = lambda cfunc , e : ( e . op in
[ cot_asgsshr , cot_asgsdiv ,
cot_asgsmod , cot_sge ,
cot_sle , cot_sgt ,
cot_slt , cot_sshr ,
cot_sdiv , cot_smod ])
ic_t ( query )
from idaapi import *
from hxtb import ic_t
ic_t ( lambda cf , i : i . op is cit_if )
from idaapi import *
from hxtb import ic_t , query_db
ic_t ( query_db ( lambda cf , i : is_loop ( i . op )))
from hxtb import ic_t , query_db , find_child_expr
from ida_hexrays import *
find_copy_query = lambda cfunc , i : ( i . op is cot_asg and
i . x . op is cot_ptr and
i . y . op is cot_ptr )
find_loop_query = lambda cfunc , i : ( is_loop ( i . op ) and
find_child_expr ( cfunc , i , find_copy_query ))
ic_t ( query_db ( find_loop_query ))
