BinAbsInspector

Что такое Binabsinspector?

Binabsinspector (бинарный абстрактный инспектор) является статическим анализатором автоматизированного обратного инженерного и сканирования уязвимостей в двоичных файлах, который является долгосрочным исследовательским проектом, инкубированным в Keenlab. Он основан на абстрактной интерпретации при поддержке Гидры. Он работает на PCODE Гидры вместо сборки. В настоящее время он поддерживает двоичные файлы на x86, x64, armv7 и aarch64.

Установка

• Установите Ghidra в соответствии с документацией Ghidra
• Установите Z3 (протестированная версия: 4.8.15)
• Обратите внимание, что, как правило, есть две части для библиотеки Z3: одна - пакет Java, а другая - нативная библиотека. Пакет Java уже включен в каталог "/lib", но мы предлагаем заменить его своим собственным пакетом Java для совместимости версий.
  • Для Windows загрузите предварительно построенный пакет отсюда, извлеките zip-файл и добавьте переменную среды пути, указывающую на z3-${version}-win/bin
  • Для Linux установка с менеджером пакетов не рекомендуется, есть два варианта:
    1. Вы можете скачать подходящий пакет предварительной билды отсюда, извлечь файл ZIP и скопировать z3-${version}-glibc-${version}/bin/*.so до /usr/local/lib/
    2. Или вы можете построить и установить Z3 в соответствии со строительством Z3, используя Make и GCC/Clang
  • Для macOS это похоже на Linux.
• Загрузите zip -файл Extension со страницы выпуска
• Установите расширение в соответствии с примечаниями к расширению Ghidra

Здание

Создайте расширение самостоятельно, если вы хотите разработать новую функцию, обратитесь к Руководству по разработке.

• Установите Ghidra и Z3
• Установите Gradle 7.X (протестированная версия: 7.4)
• Вытащите репозиторий
• Запустите gradle buildExtension в корнете репозитория
• Расширение будет сгенерировано по адресу dist/${GhidraVersion}_${date}_BinAbsInspector.zip

Использование

Вы можете запустить Binabsinspector в режиме без головы, режима GUI или с Docker.

• С режимом Ghidra без головы.

 $GHIDRA_INSTALL_DIR/support/analyzeHeadless <projectPath> <projectName> -import <file> -postScript BinAbsInspector "@@<scriptParams>"

<projectPath> - путь проекта Ghidra.
<projectName> - Имя проекта Ghidra.
<scriptParams> - аргумент для нашего анализатора предоставляет следующие варианты:

Параметр	Описание
[-K <kElement>]	Ограничение размера KSET k
[-callStringK <callStringMaxLen>]	Вызовать строку максимальную длину k
[-Z3Timeout <timeout>]	Z3 тайм -аут
[-timeout <timeout>]	Тайм -аут анализа
[-entry <address>]	Адрес входа
[-externalMap <file>]	Конфигурация модели внешней функции
[-json]	Вывод в формате JSON
[-disableZ3]	Отключить Z3
[-all]	Включить все шашки
[-debug]	Включить вывод журнала отладки
[-check "<cweNo1>[;<cweNo2>...]"]	Включить конкретные шашки

• С Ghidra Gui

  1. Запустите Ghidra и импортируйте целевой бинар в проект
  2. Проанализировать двоичный файл с настройками по умолчанию
  3. Когда анализ будет выполнен, открыть Window -> Script Manager и найдите BinAbsInspector.java
  4. Дважды щелкните в запись BinAbsInspector.java , установите параметры в окне конфигурации и нажмите OK
  5. Когда анализ будет выполнен, вы можете увидеть отчеты CWE в окне консоли, дважды щелкните адреса из отчета, которые могут перейти на соответствующий адрес

• С докером

git clone [email protected]:KeenSecurityLab/BinAbsInspector.git
cd BinAbsInspector
docker build . -t bai
docker run -v $( pwd ) :/data/workspace bai " @@<script parameters> " -import < file >

Реализованные шашки

Пока что Binabsinspector поддерживает следующие шашки:

• CWE78 (инъекция команды OS)
• CWE119 (переполнение буфера (общий случай))
• CWE125 (переполнение буфера (прочтет вне склонности))
• CWE134 (Использование строки формата с внешним контролем)
• CWE190 (целое число переполнений или упаковка)
• CWE367 (время использования времени проверки (TOCTOU))
• CWE415 (двойной бесплатный)
• CWE416 (используйте после бесплатного)
• CWE426 (Неправильный путь поиска)
• CWE467 (использование sizeof () на типе указателя)
• CWE476 (NULL Pointer Dereference)
• CWE676 (использование потенциально опасной функции)
• CWE787 (переполнение буфера (написать вне склонности))

Структура проекта

Структура этого проекта заключается в следующем, пожалуйста, обратитесь к техническим деталям или статье о китайской версии для получения более подробной информации.

 ├── main
│   ├── java
│   │   └── com
│   │       └── bai
│   │           ├── checkers                       checker implementatiom
│   │           ├── env
│   │           │   ├── funcs                      function modeling
│   │           │   │   ├── externalfuncs          external function modeling
│   │           │   │   └── stdfuncs               cpp std modeling
│   │           │   └── region                     memory modeling
│   │           ├── solver                         analyze core and grpah module
│   │           └── util                           utilities
│   └── resources
└── test

Вы также можете построить Javadoc с gradle javadoc , документация API будет генерироваться в ./build/docs/javadoc .

Подтверждение

Мы используем Ghidra в качестве нашего фонда и часто используем Jimmitable Collections для лучшей производительности.
Здесь мы хотели бы поблагодарить их за большую помощь!