darter

️ Avertissement: ce projet est dépassé. Le format des instantanés DART change constamment, et tous les outils DART RE comme celui-ci nécessitent une maintenance constante ou ils cessent de travailler avec de nouvelles versions de Dart / Flutter. Les contributions sont les bienvenues, mais je n'ai actuellement pas le temps d'investir dans la surveillance des modifications de la machine virtuelle et de garder cela à jour.

Donc, si votre instantané a été produit par une version raisonnablement moderne, elle analysera probablement [correctement]. Pourtant, si vous voulez essayer, vous aurez probablement besoin au moins de la correction du # 3.

---

Darter: analyser instantané de fléchette

darter est un module Python qui peut entièrement analyser les données dans un instantané DART (c'est-à-dire le fichier libapp.so dans une application Flutter).

Caractéristiques:

• Parses 100% des données d'instantané, y compris les structures de mémoire.
• Prend en charge de nombreuses architectures et les trois types d'instantanés (Old, AppJit et Appaot).
• Habituellement, zéro config: AutoDetects les indicateurs et paramètres de l'instantané.
• Extrait les blobs des fichiers app.so ou .snapshot automatiquement.
• Stocke des références arrière, vous pouvez donc naviguer facilement sur le graphique.
• Débogage des contrôles de sortie et de mode strict.
• Disassement et analyse le code compilé pour trouver des références aux objets VM.

Exemples de ce que vous pouvez faire avec les informations analysées:

• Extraire Tableau de chaîne de l'application
• Trouver des usages d'un certain objet
• Métadonnées d'exportation pour Radare2
• Déobfuscatez un instantané en le faisant correspondre à un
• Générer un graphique d'appel, un graphique de dépendance de la bibliothèque, etc.

Remarque: Gardez à l'esprit que c'est pour l'analyse des instantanés binaires (c'est-à-dire dépendants de l'architecture). .dill Les darter .snapshot [Apprendre encore plus]

Comment utiliser

La majeure partie du code est une dépendance zéro, sauf pour:

• parse_elf_snapshot(...) nécessite des pyelftools

• Le module darter.asm (pour analyser le code assemblé) nécessite une pierre angulaire (et sa liaison python)

darter en soi n'est qu'un module, il n'a pas de programme autonome ni de CLI.
La façon recommandée de l'utiliser est de l'inclure dans un cahier et de jouer avec les données analysées.

Installez Jupyter et ouvrez le cahier 1-introduction pour une procédure pas à pas de base des données analysées; Rendez-vous ensuite vers 2-playground qui contient des exemples d'utilisation plus intéressants.

Il est fortement recommandé de jouer avec un instantané connu (c'est-à-dire que vous avez construit vous-même ou avez le code), avant d'analyser l'instantané que vous recherchez.

Statut

L'analyseur est encore à un stade précoce et ne fonctionnera pas dans tous les cas.

• Il a été fortement testé sur les instantanés du produit Appaot sur ARM et ARM64.
• Il a été légèrement testé sur les instantanés de libération AppJit sur x64.
• L'analyse de démontage dépend de l'architecture et prend actuellement en charge ARM et ARM64.
• Le reste du code est principalement indépendant de l'architecture, mais il peut ne pas fonctionner sur d'autres architectures sans quelques modifications.

Cet analyseur a été écrit sur la base de DART-SDK à 1ef83b86ae . Le format instantané est interne à la machine virtuelle. Il jette certains des objets tels qu'ils apparaissent en mémoire; Vous devez savoir comment la machine virtuelle (arc, drapeaux de compilation) a été compilée afin de l'analyser. Il peut changer fréquemment entre les versions, car il n'y a pas de spécification standard (afaik) pour le format.

Toute aide ou dons sont les bienvenus.

Détails techniques

Étant donné une section de données et une section d'instructions (et éventuellement une base ):

• Analyser la section d'allocation des clusters, construire le tableau de référence.
• Analyser la section de remplissage des clusters.
• Analyser l'objet racine.
• Liez les références entre les objets.
• Analyser les structures natives ( OneByteString , CodeSourceMap , Instructions , etc.).
• Les objets VM résultants (et descriptions de cluster) sont renvoyés.

Les informations sont renvoyées autant que possible, afin qu'elle soit facile de manipuler. Les références arrière sont également suivies, de sorte qu'il est facile de savoir d'où un certain objet est référencé.

darter peut analyser à la fois les instantanés «VM» et les «isolat» (ceux dont nous nous soucions).

Le module darter.asm démonte le code compilé et l'analyse. Ceci est crucial pour les instantanés AOT, car nous n'obtenons aucun bytecode de haut niveau.

Voir aussi

Si vous êtes nouveau dans l'ingénierie inverse de Dart / Flutter, c'est une bonne idée de lire cette introduction en premier: https://mrale.ph/dartvm/

Le code pertinent sur la sérialisation des instantanés est sur runtime/vm/clustered_snapshot.cc et runtime/vm/raw_object.h .

Il y a aussi des informations supplémentaires dans le répertoire info .