Скачать binee - загрузка исходного кода binee

binee

Другие категории

1.0.0

Скачать

Бина (среда бинарной эмуляции)

Бина - это полная среда бинарной эмуляции, которая фокусируется на самоанализме всех операций ввода -вывода. Основные цели для этого проекта - обеспечить гибкую среду для определения побочных эффектов бинарных файлов на систему.

Цели Билли пытаются решить следующие:

Реалистичная загрузка файла PE и его необходимые зависимости. Пользовательская память должна выглядеть как можно ближе к реальному выполнению.
Легко в использовании зацепка. Мы хотим создать гибкую структуру подключения, которая позволяет аналитику быстро реализовать новые крючки и снимать данные.
Вытекайте как можно большую часть внутренней ОС, насколько это возможно. В настоящее время существуют небольшие макет файловой системы, реестра, потоков и структур TIB/PEB для Windows.
Среда ОС, насколько это возможно, должна быть определена в файле конфигурации. Это обеспечивает быстрое движение от окружающей среды к окружающей среде.

Если вы решите использовать бизин для эмуляции участков Microsoft Windows, вы несете единоличную ответственность за получение любых необходимых прав и лицензий от Microsoft.

Разработка и поддержка

Пожалуйста, не стесняйтесь отправлять проблемы с GitHub или если вы хотите поговорить с нами напрямую, приходите в Slack в Slack

Славное рабочее пространство

Def Con 27 материалов

слайды

Демо -видео

презентация

Настройка и разработка в контейнере Docker

Если вы запускаете баллончик на Microsoft Windows, вы можете пропустить шаг макетной файловой системы.

Большинству вредоносных программ потребуется как минимум некоторые стандартные DLL, и эти DLL должны быть доступны из макетной файловой системы. Макетная файловая система по умолчанию находится в os/win10_32/ . Чтобы позволить вредоносной программе загружать DLLS, вам нужно будет скопировать их в соответствующее место в макетной файловой системе. Как правило, они должны быть скопированы в os/win10_32/windows/system32/ . В настоящее время поддерживается только 32-битная DLL, вытащенная из 32-разрядной установки Windows. После того, как у вас есть необходимые файлы в этом каталоге, вы можете перейти на шаг компиляции и запуска.

Компиляция и бег

Стройте со следующей командой Docker docker build -t binee .

 docker run -it -v $PWD:/bineedev/go/src/github.com/carbonblack/binee binee bash

Скачать зависимости от Golang и настройка баллона

 root@2b0fee41629f:~/go/src/github.com/carbonblack/binee# go build

Примечание. Наличие файла go.mod будет направлять утилиту сборки для сбора зависимостей от сборки, а также позволит клонировать и разработать хранилище в любом пути (независимо от $GOPATH ) каталог

На этом этапе вы должны быть в состоянии выполнить бизин в контейнере Docker и увидеть меню использования.

 root@6a6fe8c2b2a7:~/go/src/github.com/carbonblack/binee# ./binee -h
Usage of ./binee:
  -A    list all apisets and their mappings
  -a string
        get the real dll name from an apiset name
  -c string
        path to configuration file
  -d    show the dll prfix on all function calls
  -e    dump pe file's exports table
  -i    dump a pe file's imports table
  -j    output data as json
  -l    call DLLMain while loading DLLs
  -r string
        root path of mock file system, defaults to ./os/win10_32 (default "os/win10_32/")
  -v    verbose level 1
  -vv
        verbose level 2

Если вы работаете в Microsoft Windows и/ или у вас правильно настроена макетная файловая система, вы сможете выполнить все файлы PE в tests/ каталоге.

 root@6a6fe8c2b2a7:~/go/src/github.com/carbonblack/binee# go build && ./binee tests/ConsoleApplication1_x86.exe 
[1] 0x2190c0b0: F GetSystemTimeAsFileTime(lpSystemTimeAsFileTime = 0xb7feffe0) = 0xb7feffe0
[1] 0x21905b40: P GetCurrentThreadId() = 0x0
[1] 0x219138d0: P GetCurrentProcessId() = 0x2001
[1] 0x2011ef30: P GetCurrentProcessId() = 0x2001
[1] 0x21905b50: F QueryPerformanceCounter(lpPerformanceCount = 0xb7feffd8) = 0x1
[1] 0x2190c500: F IsProcessorFeaturePresent(ProcessorFeature = 0xa) = 0x1
[1] 0x213af570: F _initterm_e(PVFV = 0x4020d8, PVFV = 0x4020e4) = 0x0
[1] 0x213af970: F _initterm(PVPV = 0x4020cc, PVPV = 0x4020d4) = 0x0
[1] 0x213be980: F __p___argv() = 0x7ffe0004
[1] 0x213b96f0: F __p___argc() = 0x7ffe0000
[1] 0x213bec50: F _get_initial_narrow_environment() = 0x7ffe0000
[1] 0x213ac0a0: P __acrt_iob_func() = 0x5dda9c68
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'GENERIC_READ = 0x%llxn', p0 = 0x80000000) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'GENERIC_WRITE = 0x%llxn', p0 = 0x40000000) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'INVALID_HANDLE = 0x%llxn', p0 = 0xffffffff) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x0
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'CREATE_ALWAYS = 0x%xn', p0 = 0x2) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'FILE_ATTRIBUTE_NORMAL = 0x%xn', p0 = 0x80) = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'ERROR_SUCCESS = 0x%xn', p0 = 0x0) = 0x403380
[1] 0x21913b80: F CreateFileA(lpFileName = 'malfile.exe', dwDesiredAccess = 0xc0000000, dwShareMode = 0x0, lpSecurityAttributes = 0x0, dwCreationDisposition = 0x2, dwFlagsAndAttributes = 0x80, hTemplateFile = 0x0) = 0xa00007b6
[1] 0x2196bfbe: F VerSetConditionMask() = 0xa00007b6
[1] 0x213ac0a0: P __acrt_iob_func() = 0xa00007b6
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0xa00007b6) = 0x403380
[1] 0x2196bfbe: F VerSetConditionMask() = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0x403380) = 0x403380
[1] 0x2196bfbe: F VerSetConditionMask() = 0x403380
[1] 0x213ac0a0: P __acrt_iob_func() = 0x403380
[1] 0x213bb710: F __stdio_common_vfprintf(stream = 0x0, format = 'out = 0x%xn', p0 = 0x403380) = 0x403380
[1] 0x21bc0780: P memset(dest = 0xb7feff1c, char = 0x0, count = 0x58) = 0xb7feff1c
[1] 0x21914000: F WriteFile(hFile = 0xa00007b6, lpBuffer = 0xb7feff10, nNumberOfBytesToWrite = 0xb, lpNumberOfBytesWritten = 0xb7feff0c, lpOverlapped = 0x0) = 0xb
[1] 0x2190c500: F IsProcessorFeaturePresent(ProcessorFeature = 0x17) = 0x1
[1] 0x2190fef0: F SetUnhandledExceptionFilter(lpTopLevelExceptionFilter = 0x0) = 0x4
[1] 0x21927950: F UnhandledExceptionFilter(ExceptionInfo = 0x402100) = 0x1
[1] 0x219138c0: P GetCurrentProcess() = 0x1
[1] 0x20122cb0: P GetCurrentProcess() = 0x1
[1] 0x21910690: F TerminateProcess(hProcess = 0xffffffff, uExitCode = 0xc0000409) = 0xffffffff

Компиляция в Windows:

1-install msys64/32: https://osdn.net/projects/mingw/releases/
2-й планы системные пакеты:
$ pacman --needed -Sy bash pacman pacman-mirrors msys2-runtime
-Рестат MSYS затем обновите все остальное:
$ pacman -Su

Для компиляции для 32-битных Windows запустите:

  $ pacman -S python2
  $ pacman -S make
  $ pacman -S mingw-w64-i686-toolchain

Для компиляции для 64-битных Windows запустите:

  $ pacman -S python2
  $ pacman -S make
  $ pacman -S mingw-w64-x86_64-toolchain

-Нелят Go:
pacman -S mingw-w64-x86_64-go

3-restart msys снова; Затем клонируйте в единорога и установите его:
git clone https://github.com/unicorn-engine/unicorn
cd unicorn
./make.sh
./make.sh install

4-калон- cd binee
go build

Расширять

Дополнительная информация