haruspex

"الاختراق هو انضباط يتمثل في التشكيك في جميع افتراضاتك طوال الوقت."

-- Dave Aitel

Haruspex هو إضافة IDA سريعة للغاية تعمل بدون واجهة رسومية، وتستخرج الكود الزائف الناتج عن مفكك الترجمة (decompiler) الخاص بـ IDA بصيغة يُفترض أن تكون مناسبة للاستيراد إلى بيئة تطوير متكاملة (IDE)، أو لتحليلها بواسطة أدوات التحليل الساكن مثل Semgrep، أو weggli، أو oneiromancer.

الميزات

• تجربة استخدام سريعة للغاية وبدون واجهة رسومية بفضل IDA 9.x وارتباطات Rust الخاصة بـ idalib-rs.
• دعم الأهداف الثنائية لأي معمارية يدعمها مفكك الترجمة Hex-Rays الخاص بـ IDA.
• يُخزَّن الكود الزائف لكل دالة في ملف منفصل داخل دليل الإخراج لتسهيل الفحص.
• تُستخرَج تعريفات الأنواع العامة وتعريفات الأنواع لكل دالة إلى ملفات رأس (header files) بجانب الكود الزائف.
• يمكن للحزم الخارجية استدعاء [decompile_to_file] لتفكيك دالة وحفظ الكود الزائف وتعريفات الأنواع الخاصة بها على القرص، مع التمييز بين الدوال التي يتعذّر تفكيكها والأخطاء مثل عدم توفر ترخيص Hex-Rays.

المقالات

• https://hex-rays.com/blog/streamlining-vulnerability-research-idalib-rust-bindings
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-ida-pro-and-rust

انظر أيضًا

• https://github.com/0xdea/ghidra-scripts/blob/main/Haruspex.java
• https://github.com/0xdea/semgrep-rules
• https://github.com/0xdea/weggli-patterns
• https://docs.hex-rays.com/release-notes/9_0#headless-processing-with-idalib
• https://github.com/idalib-rs/idalib
• https://github.com/xorpse/parascope
• https://hnsecurity.it/blog/automating-binary-vulnerability-discovery-with-ghidra-and-semgrep

التثبيت

أسهل طريقة للحصول على أحدث إصدار هي عبر crates.io:

1. نزّل IDA وثبّته واضبط إعداداته (انظر https://hex-rays.com/ida-pro).
2. ثبّت LLVM/Clang (انظر https://rust-lang.github.io/rust-bindgen/requirements.html).
3. على Linux/macOS، ثبّت كما يلي:

   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo install haruspex --locked
   

   أما على Windows، فاستخدم الأوامر التالية:

   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo install haruspex --locked
   

الترجمة (البناء)

بدلاً من ذلك، يمكنك البناء من المصدر:

1. نزّل IDA وثبّته واضبط إعداداته (انظر https://hex-rays.com/ida-pro).
2. ثبّت LLVM/Clang (انظر https://rust-lang.github.io/rust-bindgen/requirements.html).
3. على Linux/macOS، ترجم كما يلي:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo build --release --locked
   

   أما على Windows، فاستخدم الأوامر التالية:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo build --release --locked
   

الاستخدام

1. تأكد من ضبط IDA بشكل صحيح مع ترخيص صالح.
2. تأكد من تعيين متغير البيئة IDADIR إذا كان تثبيت IDA لديك في موقع غير قياسي.
3. شغّله كما يلي:

   haruspex <binary_file>
   

4. اعثر على الكود الزائف وتعريفات الأنواع المستخرجة في دليل الإخراج بجانب <binary_file>، المسمّى باسمه مع استبدال امتداده، إن وُجد، بـ .dec (على سبيل المثال، يُنتج كل من foo.exe وfoo الملف foo.dec، لذا تتشارك الملفات الثنائية التي تختلف فقط في امتدادها نفس دليل الإخراج):

   vim foo.dec
   code foo.dec
   

التوافق

يُدعم رسميًا أحدث إصدار من IDA فقط، لكن الإصدارات الأقدم قد تعمل أيضًا. يلخّص الجدول التالي أحدث إصدار متوافق مع كل إصدار من IDA:

إصدار IDA	أحدث إصدار متوافق
v9.0.240925	v0.2.4
v9.0.241217	v0.3.5
v9.1.250226	v0.6.2
v9.2.250908	v0.7.5
v9.3.260213	v0.8.1
v9.3.260327	v0.9.0
v9.3.260421	v0.9.3
v9.4.260714	الإصدار الحالي
v9.4.260915	الإصدار الحالي

[!NOTE] راجع وثائق idalib-rs للحصول على معلومات إضافية.

شكر وتقدير

حظي تطوير هذا المشروع بدعم المنظمات التالية:

• HN Security
• Hex-Rays عبر برنامج المساهمين الخاص بهم

سجل التغييرات

• CHANGELOG.md

المهام المتبقية

• إضافة اختبار انحدار لـ Semgrep CI للتأكد من عدم انخفاض نسبة الأسطر التي تم تحليلها.
• استخدام الامتداد .cpp بدلاً من .c لإخراج الكود الزائف (انظر هذه المشكلة)؟
• تنفيذ إخراج مُسلسَل لتسهيل التحليل والتحليل الآلي.
• التكامل مع فحص Semgrep (انظر https://github.com/0xdea/semgrep-rules).
• التكامل مع فحص weggli (انظر https://github.com/0xdea/weggli-patterns).
• تحسين إخراج مفكك الترجمة على غرار HexRaysPyTools وabyss.
• تنفيذ التحليل المتوازي (انظر https://github.com/fugue-re/fugue-mptp).