QtREAnalyzer

qtreanalyzer

Qtreanalyzer는 QT 프레임 워크를 사용하는 바이너리를 리버스 엔지니어링하도록 설계된 GHIDRA 분석기입니다. 주요 기능은 QT- 특이 적 객체 및 방법 정보를 복구하여 이진 구조에 대한 귀중한 통찰력을 제공하는 것입니다.

특징

• 디버그 기호가없는 바이너리에서 작동합니다.
• QT MOC에 의해 생성 된 STATICMETAOBJECT 객체를 식별하고 레이블을 지정합니다.
• qt moc에서 만든 qt_meta_stringdata 객체를 식별하고 레이블을 지정합니다.
• qt moc에 의해 생성 된 qt_meta_data 객체를 식별하고 레이블을 지정합니다.
• qt moc에서 만든 qt_static_metacall 함수를 식별하고 레이블을 지정합니다.
• 주석에 주석을 달아 주석에 주석을 달아 주석이 주석이 달린 주석이 달린 주석이 달린 주석이 달린 주석에 주석이 주석을 달아 주석이 달린 주석이 주석이 달린 QT 메타 데이터에서 복구 된 메소드 및 Propertie 서명과 함께 이전에 식별 된 QT_STATIC_METACALL 기능에 주석을 달았습니다.
• 메소드 서명을 식별하고 적용합니다. 즉, QT 메소드 (신호 및 슬롯)는 사용 가능한 메타 데이터에 따라 원래 이름, 매개 변수 유형 및 매개 변수 이름을 얻습니다.
• 기본 QT 클래스에 속성 이름과 유형을 식별하고 적용합니다. 즉, QT 속성은 사용 가능한 메타 데이터에 따라 원래 이름과 때로는 전체 유형을 가져 오며 그들이 속한 클래스 데이터 유형에서 생성됩니다.

설치

이 분석기는 설치중인 GHIDRA 버전과 연결되어 있습니다. 현재이를 구축해야합니다. 최신 GHIDRA 버전을 위해 내장 확장 프로그램이 제공 될 예정입니다.

Ghidra 확장을 구축하십시오

1. Gradle을 설치하십시오
2. QtREAnalyzerQtREAnalyzer 폴더로 이동하십시오

 cd QtREAnalyzer Q tREAnalyzer

3. GHIDRA 설치 용 플러그인을 빌드합니다 (설치 디렉토리로 $GHIDRA_DIR 교체하십시오). 예를 들어, 다음 GHIDRA 설치 경로 C:ghidra_11.0.3_PUBLIC 있는 경우 gradle -PGHIDRA_INSTALL_DIR=C:ghidra_11.0.3_PUBLIC 실행합니다.

gradle -PGHIDRA_INSTALL_DIR= $GHIDRA_DIR 

분석기를 설치하십시오

1. GHIDRA Projects Manager : File -> Install Extensions... , + 부호를 클릭하고 QtREAnalyzerQtREAnalyzerdistghidra_*_QtREAnalyzer.zip 선택하고 확인을 클릭하십시오.
2. 요청에 따라 Ghidra를 다시 시작하십시오

문제 해결

Qtreanalyzer가 올바르게 설치되어 있는지 확인하려면 CodeBrowser를 열고 Analysis -> Auto Analyze ... A 선택하고 QtReAnalyzer 옵션이 존재하는지 확인할 수 있습니다.

용법

TODO

• QT 메타 데이터에서 복구 된 기능 서명을 자동으로 적용합니다. 1 참조.
• QT 메타 데이터에서 속성 이름과 유형을 자동으로 적용하십시오. 1 참조.
• 신호와 슬롯 사이의 연결을 복구합니다.
• 더 많은 QT 클래스와 방법을 식별하고 복구하십시오.

제한

현재 Qtreanalyzer는 RTTI가있는 X32 또는 X64 바이너리에서만 작동합니다 (즉, MSVC 컴파일러로 컴파일). Qtreanalyzer가 RTTI를 사용하여 클래스가 Qobject에서 상속되는지 여부를 찾기 때문에 그렇습니다. RTTI없이 바이너리와 협력하도록이 분석기를 확장하려면 RttiClass.java 파일을 적절하게 수정하는 것입니다.

매우 드문 경우 잘못된 서명이 함수에 적용되거나 부동산이 잘못된 주소의 데이터 유형에 추가됩니다. Qtreanalyzer가 QT 신호, 슬롯 및 Propertie 서명을 해당 함수 주소/Propertie 오프셋에 맵핑하는 방식이 휴대 기반이므로 수정하는 것이 거의 불가능합니다. 이는 10,000 개가 넘는 QT 신호와 슬롯이있는 파일에서 수동으로 실질적인 샘플을 확인하는 파일에서 큰 제한이되어서는 안됩니다.

감사의 말

Qtreanalyzer는 다음과 같은 놀라운 자원이 없으면 불가능했을 것입니다.

• "Tesla InfoTainment의 Egg Hunt : QT Binaries의 역 공학에 대한 첫 번째 모습", Wen, Haohuang 및 Lin, Zhiqiang 및 Github Repository 기사
• https://ktln2.org/reversing-c%2B%2B-QT-applications-using-ghidra/
• https://woboq.com/blog/how-qt-signals-slots-work.html
• https://www.codeproject.com/articles/31330/qt-internals-reversing