haruspex

"الاختراق هو انضباط مساءلة جميع افتراضاتك طوال الوقت."

-- Dave Aitel

Haruspex هو إضافة IDA سريعة للغاية تعمل بدون واجهة رسومية، وتستخرج الكود الزائف الناتج عن مفكك الترجمة (decompiler) الخاص بـ IDA بصيغة يُفترض أن تكون مناسبة للاستيراد إلى بيئة تطوير متكاملة (IDE)، أو لتحليلها بواسطة أدوات التحليل الساكن مثل Semgrep، أو weggli، أو oneiromancer.

الميزات

• تجربة استخدام سريعة للغاية وبدون واجهة رسومية بفضل IDA 9.x وارتباطات Rust الخاصة بـ idalib-rs.
• دعم الأهداف الثنائية لأي معمارية يدعمها مفكك الترجمة Hex-Rays الخاص بـ IDA.
• يُخزَّن الكود الزائف لكل دالة في ملف منفصل داخل دليل الإخراج لتسهيل الفحص.
• تُستخرَج تعريفات الأنواع العامة وتعريفات كل دالة إلى ملفات رأس (header files) بجانب الكود الزائف.
• يمكن للحزم الخارجية استدعاء [decompile_to_file] لتفكيك دالة وحفظ الكود الزائف وتعريفات الأنواع الخاصة بها على القرص.

المقالات

• https://hex-rays.com/blog/streamlining-vulnerability-research-idalib-rust-bindings
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-ida-pro-and-rust

انظر أيضًا

• https://github.com/0xdea/ghidra-scripts/blob/main/Haruspex.java
• https://github.com/0xdea/semgrep-rules
• https://github.com/0xdea/weggli-patterns
• https://docs.hex-rays.com/release-notes/9_0#headless-processing-with-idalib
• https://github.com/idalib-rs/idalib
• https://github.com/xorpse/parascope
• https://hnsecurity.it/blog/automating-binary-vulnerability-discovery-with-ghidra-and-semgrep

التثبيت

أسهل طريقة للحصول على أحدث إصدار هي عبر crates.io:

1. نزِّل IDA وثبِّته واضبط إعداداته (انظر https://hex-rays.com/ida-pro).
2. ثبِّت LLVM/Clang (انظر https://rust-lang.github.io/rust-bindgen/requirements.html).
3. على Linux/macOS، ثبِّت كما يلي:

   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo install haruspex --locked
   

   أما على Windows، فاستخدم الأوامر التالية:

   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo install haruspex --locked
   

الترجمة (البناء)

بدلاً من ذلك، يمكنك البناء من المصدر:

1. نزِّل IDA وثبِّته واضبط إعداداته (انظر https://hex-rays.com/ida-pro).
2. ثبِّت LLVM/Clang (انظر https://rust-lang.github.io/rust-bindgen/requirements.html).
3. على Linux/macOS، ترجم كما يلي:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo build --release --locked
   

   أما على Windows، فاستخدم الأوامر التالية:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo build --release --locked
   

الاستخدام

1. تأكد من ضبط إعدادات IDA بشكل صحيح مع ترخيص صالح.
2. تأكد من تعيين متغير البيئة IDADIR إذا كان تثبيت IDA لديك في موقع غير قياسي.
3. شغِّله كما يلي:

   haruspex <binary_file>
   

4. اعثر على الكود الزائف وتعريفات الأنواع المستخرجة في دليل binary_file.dec:

   vim <binary_file>.dec
   code <binary_file>.dec
   

التوافق

يُدعم رسميًا أحدث إصدار من IDA فقط، لكن الإصدارات الأقدم قد تعمل أيضًا. يلخّص الجدول التالي أحدث إصدار متوافق مع كل إصدار من IDA:

إصدار IDA	أحدث إصدار متوافق
v9.0.240925	v0.2.4
v9.0.241217	v0.3.5
v9.1.250226	v0.6.2
v9.2.250908	v0.7.5
v9.3.260213	v0.8.1
v9.3.260327	v0.9.0
v9.3.260421	v0.9.3
v9.4.260714	الإصدار الحالي
v9.4.260915	الإصدار الحالي

[!NOTE] راجع وثائق idalib-rs للحصول على معلومات إضافية.

الشكر والتقدير

حظي تطوير هذا المشروع بدعم المنظمات التالية:

• HN Security
• Hex-Rays عبر برنامج المساهمين الخاص بها

سجل التغييرات

• CHANGELOG.md

المهام المتبقية

• إضافة اختبار انحدار لـ Semgrep CI للتأكد من عدم انخفاض نسبة الأسطر التي تم تحليلها.
• استخدام الامتداد .cpp بدلاً من .c لإخراج الكود الزائف (انظر هذه المشكلة)؟
• تنفيذ إخراج متسلسل لتسهيل التحليل والمعالجة الآليين.
• التكامل مع فحص Semgrep (انظر https://github.com/0xdea/semgrep-rules).
• التكامل مع فحص weggli (انظر https://github.com/0xdea/weggli-patterns).
• تحسين مخرجات مفكك الترجمة على غرار HexRaysPyTools وabyss.
• تنفيذ التحليل المتوازي (انظر https://github.com/fugue-re/fugue-mptp).