pythia

PENDAHULUAN / TL; DR

Alat ini memindai file yang dapat dieksekusi untuk data Delphi, termasuk RTTI dan tabel fungsi virtual. Ini menghasilkan file JSON dengan informasi tentang kelas dan fungsi yang diidentifikasi, yang dapat digunakan untuk analisis tambahan, misalnya:

• Menghasilkan pohon kelas.
• Hasilkan Nama & Komentar untuk IDA.
• Masuk ke pemrosesan lebih lanjut, misalnya dekompilasi otomatis.

Skrip Idapython yang dapat memuat output ke IDA disediakan.

Script ditulis untuk melengkapi alat lain untuk Reverse Engineering Delphi.

Penulis & Lisensi

Dirilis sebagai Open Source oleh NCC Group PLC - http://www.nccgroup.com/

Dikembangkan oleh David Cannings (@Edeca) [email protected]

http://www.github.com/nccgroup/pythia

Proyek ini dirilis di bawah lisensi AGPL. Silakan lihat lisensi untuk informasi lebih lanjut.

Cara kerjanya

Aliran level tinggi adalah:

• Muat file PE dan temukan bagian kode
• Pindai melalui setiap kode bagian 4 byte sekaligus
• Identifikasi vftable potensial & validasinya
• Mengurai nama kelas dan hubungan orang tua
• Identifikasi warisan fungsi

Mengidentifikasi vftable potensial

Delphi Vftables didokumentasikan dengan baik. Informasi untuk versi terbaru tersedia dari Embarcadero. Dokumentasi tidak resmi tersedia untuk Delphi 2005 (lihat di sini).

Kode sumber untuk Pascal gratis juga berguna (Github Mirror).

Item pertama dalam vftable adalah vmtSelfPtr , yang menunjuk ke awal tabel fungsi virtual. Script memindai setiap segmen kode dalam file PE untuk setiap lokasi yang menunjuk ke depan +0x4C byte. Perhatikan bahwa kompiler Delphi menyelaraskan vftable ke batas 4 byte (untuk optimasi).

Misalnya, VA 0x0046E1C8 berikut ini berisi offset 0x0046E214 , yang 0x4C di depan lokasi saat ini. Seperti yang ditunjukkan di Ida:

 .text:0046E1C8                   ; Classes::TComponent *vftable_TDCP_misty1
.text:0046E1C8 14 E2 46 00       vftable_TDCP_misty1 dd offset off_46E214

Pendekatan ini dapat menghasilkan positif palsu, oleh karena itu bidang lain dalam VFTable diperiksa untuk nilai -nilai yang masuk akal. Misalnya vmtInstanceSize diperiksa untuk memastikan tidak berlebihan dan pointer fungsi diverifikasi untuk terletak di bagian yang dapat dieksekusi. Selama pengujian tingkat positif palsu sangat rendah, meskipun metode pencarian gaya brute.

Warisan

Setiap fungsi yang ditemukan dalam vftable diperiksa untuk melihat apakah diwarisi dari induk atau kelebihan beban. Delphi tidak mendukung warisan berganda sehingga ini dapat dicapai dengan memeriksa pointer di induk vftable dengan offset yang sama.

Jika kedua pointer merujuk fungsi yang sama, ia diwarisi. Jika anak memiliki pointer yang berbeda maka itu telah kelebihan beban.

Output contoh

Output utama dari alat ini adalah file JSON yang dapat dimasukkan ke dalam pemrosesan / alat berikutnya. Namun, beberapa format output lainnya disertakan.

Output pohon

Gunakan opsi --save-tree untuk menghasilkan file seperti:

 TObject (at 0x0040112c)
|-- Exception (at 0x004081f8)
|   |-- EAbort (at 0x00408260)
|   |-- EAbstractError (at 0x00408ad4)
|   |-- EAssertionFailed (at 0x00408a74)
|   |-- EBcdException (at 0x004bd110)
|   |   +-- EBcdOverflowException (at 0x004bd16c)
|   |-- EBitsError (at 0x0041ab04)
|   |-- EComponentError (at 0x0041abbc)
|   |-- EConvertError (at 0x00408850)
|   |-- EDCP_cipher (at 0x0046a0ac)
|   |   +-- EDCP_blockcipher (at 0x0046a29c)
|   |-- EDCP_hash (at 0x00469f20)
.. etc ..

Tujuan masa depan

• Identifikasi versi Delhi (misalnya dari PACKAGEINFO atau sumber daya DVCLAL ) dan sesuaikan pemindaian untuk tata letak VFTable yang berbeda.
• Parse lebih banyak informasi kelas, misalnya properti (item spesifik delphi) dan tabel metode
• Informasi Parse Delphi RTTI (vmttypeInfo di vftable)
• Kode Bongkar dengan Capstone dan Identifikasi Panggilan Virtual (Misalnya call [ecx+3Fh] ke metode instance)

Peringatan

• Hanya diuji pada kode 32-bit saat ini. Tolong kirimkan saya 64 bit sampel.
• Hanya mendukung file Windows PE (Delphi akan dikompilasi ke format lain).
• Tidak dirancang untuk menjadi dekompiler Delphi penuh. Gunakan Dede / IDR / Hex-Rays.
• Hanya berguna dengan binari Delphi yang menggunakan objek (tidak semua lakukan).
• Delphi Modern menggunakan nama -nama seperti TComparer<System.Bindings.EvalProtocol.TPair<System.IInterface,System.Pointer>> yang cukup tidak dapat diuraikan di IDA.

Tolong kirimkan saya contoh binari di mana alat ini tidak berfungsi, sehingga dapat ditingkatkan.