rbasefind

rbaseFind

Un scanner d'adresse de base brute-force basé sur BaseFind.py.py de Mncoppola et @ @ @ @ @ @ @ @ @ @ @ @ RSAXVC's BaseFind.CPP implémenté dans Rust.

Caractéristiques

Scanne un fichier binaire plat 32 bits et tente de calculer l'adresse de base de l'image. Recherche les cordes d'anglais ASCII trouve ensuite la plus grande intersection des mots 32 bits interprétés comme des pointeurs et les décalages des cordes.

Cela fonctionne plutôt bien sur certains binaires de bras (non-thumb). C'est une heuristique très simple qui tente d'utiliser le moins d'informations sur le fichier possible à partir du binaire cible. En tant que tel, cela ne fera pas de miracles.

Aide

 Scan a flat 32-bit binary and attempt to brute-force the base address via string/pointer comparison. Based on the
excellent basefind.py by mncoppola.

USAGE:
    rbasefind [FLAGS] [OPTIONS] <INPUT>

FLAGS:
    -b, --bigendian    Interpret as big-endian (default is little)
    -h, --help         Prints help information
    -p, --progress     Show progress
    -V, --version      Prints version information

OPTIONS:
    -n, --maxmatches <LEN>         Maximum matches to display (default is 10)
    -m, --minstrlen <LEN>          Minimum string search length (default is 10)
    -o, --offset <LEN>             Scan every N (power of 2) addresses. (default is 0x1000)
    -t, --threads <NUM_THREADS>    # of threads to spawn. (default is # of cpu cores)

ARGS:
    <INPUT>    The input binary to scan

Exemple

 time ./rbasefind fw.bin 
Located 2355 strings
Located 372822 pointers
Scanning with 8 threads...
0x00002000: 2195
0x00001000: 103
0x00000000: 102
0x00003000: 101
0x00004000: 90
0x45e95000: 74
0x45e93000: 73
0x00006000: 64
0x00005000: 59
0x45ec3000: 58

real	0m40.937s
user	5m20.908s
sys	0m0.035s

0x00002000 était la bonne adresse de base pour ce binaire.

Pour les grands binaires, le scan par défaut peut prendre trop de temps. La taille de la recherche peut être composée, au détriment de la "précision", via la spécification d'une longueur de chaîne minimale. c'est-à-dire,

 time ./target/release/rbasefind fw_all.bin -m 100
Located 7 strings
Located 372822 pointers
Scanning with 8 threads...
0x00002000: 4
0x2ae7b000: 2
0xffe54000: 1
0xfba46000: 1
0xfb9c3000: 1
0xfb80a000: 1
0xfafe6000: 1
0xfafe0000: 1
0xfae3b000: 1
0xfae13000: 1

real	0m0.149s
user	0m0.751s
sys	0m0.012s

FAIRE

• Une forme de mode automatique. Détecter l'endienne basée sur l'intersection la plus élevée. Auto diminue le décalage dans la fenêtre autour de la correspondance la plus élevée.