ดาวน์โหลด DelphiHelper - DelphiHelper Source Source Download

DelphiHelper

ซอร์สโค้ดเดลฟี

1.0.0

ดาวน์โหลด

Delphihelper

Delphihelper เป็นปลั๊กอิน Python Ida Pro ที่มีวัตถุประสงค์เพื่อช่วยในการวิเคราะห์ไบนารี X86/X86_64 ที่เขียนด้วยภาษาการเขียนโปรแกรม Delphi

สารบัญ

คุณสมบัติ

แสดงมุมมองต้นไม้แบบโต้ตอบของทรัพยากร DFM (Delphi Form Modules) ของ Delphi (Delphi Form Description)
Parses Delphi โครงสร้างข้อมูล RTTI ของ Delphi
แยกข้อมูลที่เป็นประโยชน์จากโครงสร้างข้อมูล RTTI ของ Delphi
แยกไฟล์ไบนารีที่ฝังอยู่ในทรัพยากร DFM ของ Delphi
ค้นหาฟังก์ชันจุดเข้า (EP)
โหลดลายเซ็นของ Delphi โดยอัตโนมัติ
โหลดฐานความรู้ Delphi Reconstructor (IDR) แบบโต้ตอบ (KB) ฟังก์ชั่นฟังก์ชั่นฟังก์ชั่นฟังก์ชั่น

การติดตั้ง

คัดลอกไดเรกทอรี DelphiHelper และ DelphiHelper.py ภายในไดเรกทอรีปลั๊กอิน IDA:
- บน windows: %APPDATA%Hex-RaysIDA Proplugins
- บน macOS/linux: $HOME/.idapro/plugins/
ดาวน์โหลดไฟล์ฐานความรู้ IDR ด้วยตนเองโดยทำตามคำแนะนำที่ระบุด้านล่างหรือเรียกใช้สคริปต์ setup_IDRKB.py
หมายเหตุ : การติดตั้ง py7zr เป็นสิ่งจำเป็นในการเรียกใช้สคริปต์การตั้งค่า: pip install py7zr

Delphihelper ควรเข้ากันได้กับ IDA 8.4 และใหม่กว่าใน Windows, MacOS และ GNU/Linux

การใช้งาน

ในการใช้ปลั๊กอิน Delphihelper ส่วนทรัพยากรจะต้องโหลดใน IDA สามารถทำได้โดยการตรวจสอบ ทรัพยากรโหลด กล่องหรือด้วยตัวเลือก -R ในสวิตช์บรรทัดคำสั่ง

กำลังโหลดไฟล์ใน IDA Pro GUI

หมายเหตุ : IDA Autoanalysis ต้องเสร็จสิ้นก่อนที่จะใช้ปลั๊กอิน

คีย์

<Alt-Shift-H> : ความช่วยเหลือพิมพ์
<Alt-Shift-R> : เรียกใช้ VMT Parser
<Alt-Shift-F> : เรียกใช้ DFM Finder (แสดงหน้าต่างดู Delphi Form Viewer)
<Alt-Shift-E> : เรียกใช้ Function Function Function Finder
<Alt-Shift-S> : เรียกใช้ Loader ฐานความรู้ IDR สำหรับ SysInit และ System Unit
<Alt-Shift-A> : เรียกใช้ตัวโหลดฐานความรู้ IDR สำหรับหน่วยที่เลือก

VMT Parser

ฮอตคีย์ : <Alt-Shift-R>

ตัวแยกวิเคราะห์วิธีการเสมือน (VMT) ต้องดำเนินการกับเคอร์เซอร์บนที่อยู่เริ่มต้นของโครงสร้าง VMT โครงสร้างนี้สามารถอยู่ได้โดยการค้นหาฟังก์ชั่นที่ชื่อ CreateForm , CreateObject ฯลฯ ; เมื่อพบฟังก์ชันแล้วอาร์กิวเมนต์สุดท้ายควรเป็นโครงสร้าง VMT

ในกรณีส่วนใหญ่มีลำดับสองคำแนะนำ:

 mov <register>, <VMTStructureOffset>
call CreateForm

ตัวอย่างเช่น:

การระบุโครงสร้าง VMT ชดเชย

เมื่ออยู่ในโครงสร้าง (vmtStructureOffset เช่น off_664A8C ) กด <Enter> ::

โครงสร้าง VMT

กด HOTKEY <Alt-Shift-R> ผลลัพธ์ที่ได้ด้านล่าง:

โครงสร้าง VMT ที่แยกวิเคราะห์

โครงสร้าง VMT มีข้อมูลที่เป็นประโยชน์มากมายที่เก็บไว้ในตาราง RTTI ต่างๆ สิ่งที่น่าสนใจที่สุดคือ:

ตารางฟิลด์
ตารางวิธีการเสมือน (VMT)
ตารางวิธีการ

ตัวแยกวิเคราะห์ VMT จะดึงข้อมูลออกจากตารางเหล่านั้นโดยอัตโนมัติและเก็บไว้ใน IDA enums และโครงสร้าง

ตารางฟิลด์

ตารางฟิลด์เก็บชื่อประเภทและออฟเซ็ตของแต่ละฟิลด์ที่เผยแพร่ ตัวแยกวิเคราะห์ VMT แยก และบันทึกรายการเหล่านี้ทั้งหมดสำหรับแต่ละโครงสร้าง VMT ลงใน IDA enums:

ตารางฟิลด์

enums ที่สร้างโดย ตัวแยกวิเคราะห์ VMT มีรูปแบบต่อไปนี้: %ObjectName%_Fields ชื่อของรายการ enum มีรูปแบบนี้: %ObjectName%_%FieldType%_%FieldName% :

ตารางฟิลด์ใน IDA enum

รายการจาก enums ที่สร้างโดย VMT Parser นั้นสามารถตั้งชื่อได้โดยการกดทางลัด IDA ในตัว <M> ซึ่งใช้สำหรับการตั้งชื่อค่าคงที่สัญลักษณ์

ก่อน

การแก้ไขฟิลด์จากตารางฟิลด์

หลังจาก

การแก้ไขฟิลด์จากตารางฟิลด์

ตารางวิธีการเสมือน (VMT)

ตารางวิธีการเสมือนเก็บพอยน์เตอร์ไปยังวิธีการเสมือนทั้งหมดที่ประกาศสำหรับชั้นเรียนและคลาสพื้นฐาน:

ตาราง VMT

ตัวแยกวิเคราะห์ VMT สกัดพอยน์เตอร์จาก VMT และบันทึกไว้ในโครงสร้าง IDA ที่ตั้งชื่อโดยโครงสร้าง VMT ที่แยกวิเคราะห์ ชื่อของรายการโครงสร้างมีรูปแบบต่อไปนี้: %MethodName%_%MethodOffset% :

ตาราง VMT ในโครงสร้าง IDA

รายการจากโครงสร้างที่สร้างขึ้นโดย VMT Parser นั้นสามารถตั้งชื่อได้โดยการกดทางลัด IDA ในตัว <T> ซึ่งใช้สำหรับการตั้งชื่อโครงสร้างออฟเซ็ต

ก่อน

โทรหาวิธี VMT โดยชดเชย

หลังจาก

โทรหาวิธี VMT โดยชดเชย

ตารางวิธีการ

ตารางวิธีเก็บชื่อและพอยน์เตอร์ของวิธีการที่เผยแพร่ ตารางวิธีการยังมีพอยน์เตอร์ของตัวจัดการเหตุการณ์ Delphi ที่สามารถพบและเข้าถึงได้จาก ตัวแสดงแบบฟอร์ม Delphi (สำหรับข้อมูลเพิ่มเติมดู DFM Finder)

ตารางวิธีการ

ตัวค้นหา DFM

ฮอตคีย์ : <Alt-Shift-F

DFM Finder พยายามค้นหา DFM ทั้งหมดที่เก็บไว้ในส่วนทรัพยากรของ Delphi Binary ที่วิเคราะห์และหลังจากนั้นมันก็ใช้ ตัวแยกวิเคราะห์ VMT ในโครงสร้าง VMT ทั้งหมดที่เกี่ยวข้องกับ DMF ที่พบ หลังจากประมวลผลโครงสร้าง VMT ทั้งหมดแล้วจะมีการแสดงผล Subview IDA แบบโต้ตอบใหม่ ( Delphi Form Viewer ) มุมมองย่อยแสดงมุมมองต้นไม้ของคำอธิบายแบบฟอร์ม Delphi ที่สกัดจาก DFM:

Delphi Form Viewer

โหนด ตัวหนา แสดงถึงส่วนประกอบที่มีการกำหนดเหตุการณ์ Delphi ติดตามโหนดตัวหนาดังกล่าวลึกลงไปในทรีย่อยจนกว่าคุณจะเห็นโหนด Properties ตัวหนาซึ่งคุณสามารถค้นหาเหตุการณ์ Delphi สีฟ้า เมื่อคลิกที่รายการกิจกรรมคุณจะถูกย้ายไปยังตัวจัดการเหตุการณ์ที่เกี่ยวข้องในหน้าต่าง Disassembly IDA

โหนด สีเขียว แสดงส่วนประกอบที่มีไฟล์ไบนารีบางส่วนฝังอยู่ ติดตามโหนดสีเขียวดังกล่าวลึกลงไปในทรีย่อยจนกว่าคุณจะเห็นโหนด Properties สีเขียวซึ่งคุณสามารถค้นหารายการสีเขียว รายการแสดงเส้นทางไฟล์ของไฟล์ไบนารีแบบฝังตัวที่ลดลงโดย ตัวค้นหา DFM ไดเรกทอรีย่อยปลายทางสำหรับไฟล์ที่แยกอยู่นั้นอยู่ในไดเรกทอรีการทำงานของ IDA ปัจจุบันและมีรูปแบบต่อไปนี้: %IDAWorkingDirectory%_extracted_%BinaryFileName%

คลิกที่โหนดรูท (แบบฟอร์ม) ในหน้าต่าง Delphi Form Viewer จะย้ายคุณไปยังโครงสร้าง VMT ของแบบฟอร์มในหน้าต่าง Disassembly IDA

ตัวค้นหาฟังก์ชั่นจุดเริ่มต้น

ฮอตคีย์ : <Alt-Shift-E>

Finder ฟังก์ชั่นจุดเริ่มต้น พยายามค้นหาฟังก์ชั่นจุดเริ่มต้นที่เป็นไปได้โดยการค้นหาการอ้างอิงไปยัง CreateFrom , InitExe และ InitLib ผลลัพธ์จะถูกนำเสนอในหน้าต่างเอาต์พุตของ IDA เช่น:

ouput of ep function finder

IDR ความรู้พื้นฐานตัวโหลด

hotkeys : <Alt-Shift-S> และ <Alt-Shift-A>

IDR ความรู้พื้นฐานโหลดเดอร์ โหลดลายเซ็น IDR KB จากไฟล์ KB ปลั๊กอินคาดว่าจะมีไฟล์ KB ที่เก็บไว้ในตำแหน่งต่อไปนี้:

บน windows: %APPDATA%Hex-RaysIDA PropluginsDelphiHelperIDR_KB
บน macOS/linux: $HOME/.idapro/plugins/DelphiHelper/IDR_KB/

<Alt-Shift-S> ฟังก์ชั่นฟังก์ชั่นสำหรับ SysInit และ System เท่านั้น

<Alt-Shift-A> พยายามโหลดลายเซ็นฟังก์ชั่นสำหรับทุกหน่วยที่เลือกจากรายการหน่วยที่นำเข้า

หมายเหตุ : ดาวน์โหลดไฟล์ KB จากโครงการ IDR:
https://github.com/crypto2011/idr
https://github.com/crypto2011/idr64

โครงการ IDR ได้รับใบอนุญาตภายใต้ใบอนุญาต MIT:

 MIT License

Copyright (c) 2006-2018 crypto

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.

ดาวน์โหลดคำแนะนำ

ดาวน์โหลดและคัดลอกไฟล์ KB ต่อไปนี้ลงใน DelphiHelperIDR_KBIDR64 DIRECTORY:
https://github.com/crypto2011/idr64/blob/master/syskb2012.bin
https://github.com/crypto2011/idr64/blob/master/syskb2013.bin
https://github.com/crypto2011/idr64/blob/master/syskb2014.bin

ดาวน์โหลดและ แยก ไฟล์ KB ต่อไปนี้ลงใน DelphiHelperIDR_KBIDR Directory:
https://github.com/crypto2011/idr/blob/master/kb2005.7z
https://github.com/crypto2011/idr/blob/master/kb2006.7z
https://github.com/crypto2011/idr/blob/master/kb2007.7z
https://github.com/crypto2011/idr/blob/master/kb2009.7z
https://github.com/crypto2011/idr/blob/master/kb2010.7z
https://github.com/crypto2011/idr/blob/master/kb2011.7z
https://github.com/crypto2011/idr/blob/master/kb2012.7z
https://github.com/crypto2011/idr/blob/master/kb2013.7z
https://github.com/crypto2011/idr/blob/master/kb2014.7z

ขยาย

ข้อมูลเพิ่มเติม