FindCrypt Ghidra

Findcrypt - Edición Ghidra

Este proyecto se descuenta ya que no puedo mantenerlo mantenido, consulte las horquillas o variaciones de este proyecto, como este. Siéntase libre de abrir un problema si desea agregar su proyecto a la lista de trabajo derivado, con una breve descripción

Mientras que durante años utilizamos IDA Pro y sus increíbles complementos desarrollados por su enorme comunidad, Ghidra salió recientemente (al momento de escribir) mostrando mucho potencial y un diseño modular increíble para la personalización tanto en Python como en Java.

Como la mayoría de ustedes saben, FindCrypt, un complemento realizado por no obstante que el propio Ilfak Guilfanov para IDA, es esencial para encontrar rápidamente referencias a funciones de criptografía en el objetivo y extremadamente útil en el campo de la ingeniería inversa.

Estoy tratando de mudarme a Ghidra y lo primero que noté es lo importante que es el complemento para mí, así que asumí la responsabilidad de migrarlo, en Java, sin sacrificar ninguna firma e intentar mejorarlo también.

Este software se está desarrollando y probando, si encuentra algún problema, continúe en la sección de problemas

Instalación

Windows

1. Encuentre su directorio de instalación de Ghidra (por ejemplo, "E: Reversing Softwares Ghidra_9.0")
2. Mover "FindCrypt.java" en "Ghidra características bytePatterns ghidra_scripts"
3. Mueva "FindCrypt_Ghidra" (directorio de la base de datos) a "c: users su usuario"
4. Asegúrese de que Ghidra pueda acceder al directorio "FindCrypt_Ghidra" tanto para leer como para escribir.

Linux

1. Encuentre su directorio de instalación de Ghidra (por ejemplo, Ghidra)
2. Mover "FindCrypt.java" en "~/ghidra/características/bytePatterns/ghidra_scripts"
3. Mueva "FindCrypt_Ghidra" (directorio de la base de datos) en ~/ (o $ home)
4. Asegúrese de que Ghidra pueda acceder al directorio "~/findCrypt_ghidra" tanto para leer como para escribir.

Uso

Una vez que inició su proyecto y haya abierto el desonometrado, use la ventana del Administrador de script y busque "FindCrypt.java", haciendo doble clic o presionando "Ejecutar" ejecutará el script y se muestra una pantalla de resultado si se encuentra algo.

Base de datos

La base de datos es un archivo binario que me es serializado, es muy fácil de entender y muy básico pero funcional para su objetivo. La base de datos contiene las 79 constantes de algoritmos implementadas por ILFAK, no se han realizado sacrificios al migrarlos, al tiempo que los contribuyentes agregan cada vez más.

Hay un total de 122 constantes detectables en la base de datos, relacionadas con:

• Primitivas crudas
  • Keccak (SHA-3)
• Curvas elípticas
  • Donna32 (EC25519), Donna64 (EC25519)
• Cifradores de transmisión
  • Chacha, salsa, sosemanuk
• Cifras de bloqueo
  • Blowfish, Camellia, DES, Tripledes, RC2, Tiburón, Cast, Square, Wake, Skipjack, Hight, Kalyna, Lea, Seed, Schacal2, Simon-64, Simon-128, Tea/Tean/Xxtea/Xxtea
• Funciones hash
  • Whirlpool, MD2, MD4, MD5, SHA-1, SHA-256, SHA-384, SHA-512, Tiger, Ripemd160, Haval, Blake2
• Familia AES
  • AES, RC5/RC6, Marte, Twofish, Cast-256, Gost, más seguro
• Compresión
  • Zlib

Para incluir más constantes de su elección, simplemente consulte el proyecto "FCEXPORTER" y quizás también comparta sus nuevas entradas :)

Actualización de la base de datos

El script ahora está utilizando un sistema interno de actualización automática sincronizada con la última versión de base de datos en este repositorio. La sincronización del repositorio centralizado se activa de manera predeterminada, esto es para garantizar que el usuario siempre tenga la última versión posible y, por lo tanto, obtenga los mejores resultados del script, si desea apagarlo:

1. Abra el archivo "FindCrypt.Java" y busque la variable '__force_no_dbupdate' (línea 705).
2. Reemplazar "falso" con "verdadero".

Actualización de scripts

Si bien la base de datos es por diseño modular y se puede actualizar automáticamente, el script no puede; Pero el script verificará la versión actual y le pedirá al usuario que verifique esta última versión del repositorio para descargar, con la lista de cambios de la nueva versión.

El mensaje de actualización de script es solo una vez por sesión.

Proceda a descargar la última versión de "FindCrypt.java" y reemplácela en el directorio de guiones de Ghidra.

Además, esta característica se enciende de forma predeterminada, si desea deshabilitarla, siga los pasos mencionados anteriormente en '__force_no_scriptupdate' (línea 707).

Créditos

d3Vil401 - [email protected], D3VIL401#7685 (Discord), https://d3vsite.org/

Ilfak Guilfanov - https://twitter.com/ilfak

NSA (Ghidra) - https://ghidra-sre.org/

Licencia

GNU GPLV3 - Consulte "Licencia"

Uso de Crypto ++ - Consulte Licencias Crypto ++. Txt