ホーム>JSPソースコード>その他のカテゴリー
ダウンロード

Binee（バイナリエミュレーション環境）

Bineeは、すべてのIO操作の内省に焦点を当てた完全なバイナリエミュレーション環境です。このプロジェクトの主な目標は、システムに対するバイナリの副作用を決定するための柔軟な環境を提供することです。

Bineeが解決しようとする目標は次のとおりです。

  1. PEファイルの現実的な読み込みとその必要な依存関係。ユーザーランドメモリは、可能な限り実際の実行に近づける必要があります。
  2. 使いやすいフッキングフレームワーク。アナリストが新しいフックを迅速に実装し、データをキャプチャできるようにする柔軟なフックフレームワークを作成したいと考えています。
  3. 合理的に可能な限り多くのOS内部を模倣してください。現在、ウィンドウ用のファイルシステム、レジストリ、スレッド、TIB/PEB構造の小さなモックがあります。
  4. OS環境は、可能な限り構成ファイルで定義する必要があります。これにより、環境から環境への急速な動きが可能になります。

Bineeを使用してMicrosoft Windowsの一部をエミュレートすることを選択した場合、Microsoftから必要な権利とライセンスを取得することに責任を負います。

開発とサポート

Githubの問題をお気軽に送信してください。または、直接お話ししたい場合は、参加してください。

スラックワークスペース

def con 27材料

スライド

デモビデオ

プレゼンテーション

Dockerコンテナでのセットアップと開発

Microsoft WindowsでBineeを実行している場合は、モックファイルシステムのステップをスキップできます。

ほとんどのマルウェアには、少なくともいくつかの標準DLLが必要であり、これらのDLLは模擬ファイルシステムからアクセスできる必要があります。デフォルトの「ルート」モックファイルシステムはos/win10_32/にあります。マルウェアがDLLをロードできるようにするには、モックファイルシステム内の適切な場所にコピーする必要があります。通常、これらはos/win10_32/windows/system32/にコピーする必要があります。現在、32ビットのWindowsインストールから引き出された32ビットDLLのみがサポートされています。そのディレクトリに必要なファイルを作成したら、コンパイルと実行ステップに移動できます。

コンパイルと実行

次のDockerコマンドdocker build -t binee . 

 docker run -it -v $PWD:/bineedev/go/src/github.com/carbonblack/binee binee bash

Golang依存関係をダウンロードし、Bineeを構築します

 root@2b0fee41629f:~/go/src/github.com/carbonblack/binee# go build

注：go.modファイルの存在は、ビルドユーティリティをビルド時に依存関係を収集するように指示し、任意のパス（ $GOPATHに関係なく）でリポジトリをクローン化および開発することを可能にします

この時点で、Dockerコンテナ内でBineeを実行し、使用状況メニューを表示できるはずです。 

 root@6a6fe8c2b2a7:~/go/src/github.com/carbonblack/binee# ./binee -h
Usage of ./binee:
  -A    list all apisets and their mappings
  -a string
        get the real dll name from an apiset name
  -c string
        path to configuration file
  -d    show the dll prfix on all function calls
  -e    dump pe file's exports table
  -i    dump a pe file's imports table
  -j    output data as json
  -l    call DLLMain while loading DLLs
  -r string
        root path of mock file system, defaults to ./os/win10_32 (default "os/win10_32/")
  -v    verbose level 1
  -vv
        verbose level 2

Microsoft Windowsで実行している場合、および/またはMockファイルシステムを適切に構成している場合は、 tests/ディレクトリ内のすべてのPEファイルを実行できるはずです。 

 root@6a6fe8c2b2a7:~/go/src/github.com/carbonblack/binee# go build && ./binee tests/ConsoleApplication1_x86.exe 
[1] 0x2190c0b0: F GetSystemTimeAsFileTime(lpSystemTimeAsFileTime = 0xb7feffe0) = 0xb7feffe0
[1] 0x21905b40: P GetCurrentThreadId() = 0x0
[1] 0x219138d0: P GetCurrentProcessId() = 0x2001
[1] 0x2011ef30: P GetCurrentProcessId() = 0x2001
[1] 0x21905b50: F QueryPerformanceCounter(lpPerformanceCount = 0xb7feffd8) = 0x1
[1] 0x2190c500: F IsProcessorFeaturePresent(ProcessorFeature = 0xa) = 0x1
[1] 0x213af570: F _initterm_e(PVFV = 0x4020d8, PVFV = 0x4020e4) = 0x0
[1] 0x213af970: F _initterm(PVPV = 0x4020cc, PVPV = 0x4020d4) = 0x0
[1] 0x213be980: F __p___argv() = 0x7ffe0004
[1] 0x213b96f0: F __p___argc() = 0x7ffe0000
[1] 0x213bec50: F _get_initial_narrow_environment() = 0x7ffe0000
[1] 0x213ac0a0: P __acrt_iob_func() = 0x5dda9c68
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'GENERIC_READ = 0x%llxn', p0 = 0x80000000) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'GENERIC_WRITE = 0x%llxn', p0 = 0x40000000) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'INVALID_HANDLE = 0x%llxn', p0 = 0xffffffff) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x0
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'CREATE_ALWAYS = 0x%xn', p0 = 0x2) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'FILE_ATTRIBUTE_NORMAL = 0x%xn', p0 = 0x80) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'ERROR_SUCCESS = 0x%xn', p0 = 0x0) = 0x403380
[1] 0x21913b80: F CreateFileA(lpFileName = 'malfile.exe', dwDesiredAccess = 0xc0000000, dwShareMode = 0x0, lpSecurityAttributes = 0x0, dwCreationDisposition = 0x2, dwFlagsAndAttributes = 0x80, hTemplateFile = 0x0) = 0xa00007b6
[1] 0x2196bfbe: F VerSetConditionMask() = 0xa00007b6
[1] 0x213ac0a0: P __acrt_iob_func() = 0xa00007b6
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0xa00007b6) = 0x403380
[1] 0x2196bfbe: F VerSetConditionMask() = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0x403380) = 0x403380
[1] 0x2196bfbe: F VerSetConditionMask() = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0x403380) = 0x403380
[1] 0x21bc0780: P memset(dest = 0xb7feff1c, char = 0x0, count = 0x58) = 0xb7feff1c
[1] 0x21914000: F WriteFile(hFile = 0xa00007b6, lpBuffer = 0xb7feff10, nNumberOfBytesToWrite = 0xb, lpNumberOfBytesWritten = 0xb7feff0c, lpOverlapped = 0x0) = 0xb
[1] 0x2190c500: F IsProcessorFeaturePresent(ProcessorFeature = 0x17) = 0x1
[1] 0x2190fef0: F SetUnhandledExceptionFilter(lpTopLevelExceptionFilter = 0x0) = 0x4
[1] 0x21927950: F UnhandledExceptionFilter(ExceptionInfo = 0x402100) = 0x1
[1] 0x219138c0: P GetCurrentProcess() = 0x1
[1] 0x20122cb0: P GetCurrentProcess() = 0x1
[1] 0x21910690: F TerminateProcess(hProcess = 0xffffffff, uExitCode = 0xc0000409) = 0xffffffff

Windowsでのコンパイル：

1インストールMSYS64/32：https：//osdn.net/projects/mingw/releases/
2システムパッケージをアップデートします。
$ pacman --needed -Sy bash pacman pacman-mirrors msys2-runtime
-RestartMSYSその後、他のすべてを更新します：
$ pacman -Su

Windows 32ビットをコンパイルするには、実行してください。 

  $ pacman -S python2
  $ pacman -S make
  $ pacman -S mingw-w64-i686-toolchain

Windows 64ビットをコンパイルするには、実行してください。 

  $ pacman -S python2
  $ pacman -S make
  $ pacman -S mingw-w64-x86_64-toolchain

- インストールGO：
pacman -S mingw-w64-x86_64-go

3 Restart MSYSも再び;次に、ユニコーンにクローンしてインストールします。
git clone https://github.com/unicorn-engine/unicorn
cd unicorn
./make.sh
./make.sh install

4-Clone BineeとBuild cd binee
go build

拡大する
追加情報
関連アプリ
おすすめ
関連情報 すべて