HexraysToolbox

Hexrays Toolbox

Toolbox HexRays (HXTB) - это мощный набор сценариев идиопии, который можно использовать для поиска и определения кода в двоичных файлах, независимых от их базовой архитектуры процессора.

Варианты использования

• Сканируйте двоичные файлы на наличие уязвимостей и вариантов
• Найдите шаблоны кода из ранее реверно разработанных исполняемых файлов в недавно декомпилированном коде.
• Анализ варианта вредоносных программ
• Найти сходства кода в нескольких двоичных файлах (т.е. для доказательства «кражи кода», нарушения лицензии, ...)
• Найдите шаблоны кода из двоичных файлов, составленных для архитектуры A в двоичных файлах, скомпилированных для архитектуры B
• Наверное, намного больше ...

Запрос, проиллюстрированный приведенной ниже анимацией, является примером того, как уязвимость, которая повлияла на WhatsApp для Android (CVE-2019-3568, libwhathapp.so), может быть расположена с использованием инструментов Hexrays. Это делается путем формулирования желаемой паттерны кода, который должен быть расположен с использованием функции LAMBDA IdapyThon. Найдите пример сценария Анкет

Требования

Требуется действующая лицензия IDA и действующая лицензия HexRays Decropiler на целевую архитектуру.

Использование

Существует несколько способов использования инструментов HexRays, каждый из которых с различной степенью гибкости.

• Запустите запросы от имени HXTB_SHELL, интерактивный графический интерфейс
• Пользовательский сценарий
• interactive.py , скрипт, который добавляет удобные функции, которые будут использоваться с интерфейсом командной строки IDA
• automation.py , скрипт, который обрабатывает и запускает запросы HXTB в данном наборе файлов в режиме партийного режима

HXTB-Shell

Выполнение включенного сценария hxtb_shell.py из IDA открывает окно графического интерфейса, которое можно использовать для разработки, загрузки и запуска запросов HXTB. Скриншот ниже показывает, как может выглядеть запрос, загруженный HXTB-Shell.

HXTB-Shell также принимает экспрессии Python, которые создаются зрителем контекста HRDEVHELPER. Они могут быть скопированы из него и прямо вставлены в графический интерфейс HXTB-Shell.

---

Дальнейшие примеры запросов, которые могут быть загружены с помощью HXTB-Shell, можно найти в подразделении hxtbshell_queries , включенном в инструментарию HexRays.

Сценарии

Загрузка hxtb.py с помощью IDA (Alt-F7) делает такие функции, как find_expr() и find_item() доступны как для IdapyThon CLI, так и для интерпретатора скрипта (Shift-F2). Среди прочего, эти функции могут быть использованы для запуска запросов в базе данных IDA, загруженной в настоящее время. Пожалуйста, ознакомьтесь с некоторыми примерами, показанными ниже.

    find_item(ea, q)
    find_expr(ea, q)

    Positional arguments:
        ea:         address of a valid function within
                    the current database
        q:          lambda function
                    custom lambda function with the following arguments:
                    1. cfunc: cfunc_t
                    2. i/e:   cinsn_t/cexpr_t
    Returns:
        list of query_result_t objects

    Example:
        find_expr(here(), lambda cf, e: e.op is cot_call)
    
        -> finds and returns all function calls within a current function.
        The returned data is a list of query_result_t objects (see hxtb.py).

        The returned list can be passed to an instance of the ic_t class,
        which causes the data to be displayed by a chooser as follows:

        from idaapi import *
        import hxtb
        hxtb.ic_t(find_expr(here(), lambda cf,e:e.op is cot_call))


    Please find the cfunc_t, citem_t, cinsn_t and cexpr_t structures
    within hexrays.hpp for further help and details.

Примеры

Перечислите выражения, которые сравнивают что -либо с нулем ("x == 0")

         cot_eq
         /   
      x /      y
(anything)  cot_num --- n.numval() == 0

 from idaapi import *
from hxtb import find_expr
query = lambda cfunc , e : e . op is cot_eq and e . y . op is cot_num and e . y . numval () == 0
r = find_expr ( here (), query )
for e in r :
    print ( e )

Вызовы функций List (Direct)

        cot_call
         / 
      x /
 cot_obj

 from idaapi import *
from hxtb import find_expr
query = lambda cfunc , e : e . op is cot_call and e . x . op is cot_obj
r = find_expr ( here (), query )
for e in r :
    print ( e )

Список звонков Memcpy, где аргумент «DST» находится в стеке

        cot_call --- arg1 is cot_var
         /           arg1 is on stack
      x /
 cot_obj --- name(obj_ea) == 'memcpy'

 from idaapi import *
from hxtb import find_expr
r = []
query = lambda cfunc , e : ( e . op is cot_call and
           e . x . op is cot_obj and
           get_name ( e . x . obj_ea ) == 'memcpy' and
           len ( e . a ) == 3 and
           e . a [ 0 ]. op is cot_var and
           cfunc . lvars [ e . a [ 0 ]. v . idx ]. is_stk_var ())
for ea in Functions ():
    r += find_expr ( ea , query )
for e in r :
    print ( e )

Список звонков в Sprintf (str, fmt, ...), где FMT содержит "%s"

        cot_call --- arg2 ('fmt') contains '%s'
         /
      x /
 cot_obj --- name(obj_ea) == 'sprintf'

 from idaapi import *
from hxtb import find_expr
r = []
query = lambda cfunc , e : ( e . op is cot_call and
    e . x . op is cot_obj and
    get_name ( e . x . obj_ea ) == 'sprintf' and
    len ( e . a ) >= 2 and
    e . a [ 1 ]. op is cot_obj and
    is_strlit ( get_flags ( get_item_head ( e . a [ 1 ]. obj_ea ))) and
    b'%s' in get_strlit_contents ( e . a [ 1 ]. obj_ea , - 1 , 0 , STRCONV_ESCAPE ))
for ea in Functions ():
    r += find_expr ( ea , query )
for e in r :
    print ( e )

Показать все инструкции с использованием подписанных операторов в просмотре списка

 from idaapi import *
from hxtb import ic_t
query = lambda cfunc , e : ( e . op in
            [ cot_asgsshr , cot_asgsdiv ,
            cot_asgsmod , cot_sge ,
            cot_sle , cot_sgt ,
            cot_slt , cot_sshr ,
            cot_sdiv , cot_smod ])
ic_t ( query )

Показать все операторы «если» в представлении списка

 from idaapi import *
from hxtb import ic_t
ic_t ( lambda cf , i : i . op is cit_if )

Найти все операторы цикла в текущем DB, отобразите представление списка

 from idaapi import *
from hxtb import ic_t , query_db
ic_t ( query_db ( lambda cf , i : is_loop ( i . op )))

Показать потенциальные операции копирования памяти в просмотре списка

 from hxtb import ic_t , query_db , find_child_expr
from ida_hexrays import *


find_copy_query = lambda cfunc , i : ( i . op is cot_asg and
                                i . x . op is cot_ptr and
                                i . y . op is cot_ptr )

find_loop_query = lambda cfunc , i : ( is_loop ( i . op ) and
                            find_child_expr ( cfunc , i , find_copy_query ))


ic_t ( query_db ( find_loop_query ))