uEmu

نظرة عامة

uEmu هو مكون إضافي محاكي صغير ولطيف لـ IDA مبني على محرك Unicorn.

يدعم البنى التالية مباشرة: x86، x64، ARM، ARM64، MIPS، MIPS64

ما هو جيد فيه؟

• محاكاة كود المعدن العاري (محملات الإقلاع، البرامج الثابتة المضمنة إلخ)
• محاكاة دوال مستقلة

ما هو سيء فيه؟

• محاكاة كود نظام تشغيل معقد (مكتبات ديناميكية، عمليات إلخ)
• محاكاة كود يحتوي على العديد من استدعاءات النظام

ما الذي يمكن تحسينه؟

• إيجاد طريقة لمحاكاة الوصول إلى سجلات خاصة بالمورد (مثل MSR S3_x, X0 لـ ARM64)
• إضافة المزيد من السجلات للتتبع

التثبيت

• تكوين IDAPython عبر idapyswitch
• brew install unicorn لتثبيت ثنائيات Unicorn
• pip install unicorn لتثبيت روابط بايثون لـ Unicorn
• استخدم File / Script file... أو ALT+F7 في IDA لتحميل uEmu.py

اختياريًا، يمكن تحميل uEmu تلقائيًا كمكون إضافي لـ IDA. في هذه الحالة، ضعه في مجلد [IDA]/Plugins وقم بتغيير USE_AS_SCRIPT إلى False داخل uEmu.py

الميزات

القائمة المنبثقة

• أمر Start يهيئ المحاكي عن طريق تعيين جميع المقاطع وإعداد Unicorn
• أمر Run يحاكي التعليمات حتى الوصول إلى نقطة توقف أو حدوث خطأ
• أمر Step يحاكي تعليمة واحدة أو N (اضغط مع الاستمرار ALT/OPTION لتحديد رقم)
• أمر Stop يقطع المحاكاة
• أمر Reset يعيد ضبط محرك المحاكاة ويلغي تعيين جميع مناطق الذاكرة
• أمر Jump To PC يقفز ببساطة إلى عداد البرنامج الحالي
• أمر Set PC ينقل عداد البرنامج إلى المؤشر
• من الممكن تحديث سياق المعالج يدويًا أو عبر ملف JSON (انظر أدناه)
• Show Controls يعرض نافذة بأزرار Start/Run/Step/Stop
• Show CPU Context يعرض نافذة بالسجلات المتاحة
• Show CPU Extended Context يعرض نافذة بالسجلات الموسعة (FP/SIMD)
• Show Stack يعرض نافذة بالمكدس الحالي
• Show Memory Range يسمح بعرض منطقة ذاكرة محددة

البدء

بدء المحاكاة من المؤشر. من الضروري توفير سياق المعالج الأولي أولاً (انظر تحديث سياق المعالج) بعد ذلك، سيتم تعيين جميع المقاطع من قاعدة بيانات IDA إلى المحاكي (سيتم نسخ البيانات المهيأة أيضًا).

التشغيل

تنفيذ الكود حتى الوصول إلى نقطة توقف كود أو ذاكرة أو وجود حدث يتطلب إجراء المستخدم.

الخطوة

تنفيذ خطوة واحدة. اضغط مع الاستمرار ALT/OPTION لتحديد عدد الخطوات.

الإيقاف

عندما تكون المحاكاة قيد التشغيل، يمكن استخدام هذا الأمر لمقاطعة التنفيذ.

إعادة الضبط

يعيد ضبط مثيل المحاكي ويلغي تعيين جميع مناطق الذاكرة.

نقاط التوقف

يمكنك استخدام نقاط توقف IDA للإشارة إلى المواقع التي يجب فيها مقاطعة المحاكاة. يشمل ذلك نقاط توقف الكود والذاكرة. تُستخدم عادةً مع أمر Run.

الإجراءات أثناء التشغيل

ذاكرة غير معينة

عندما يحتاج المحاكي إلى الوصول إلى ذاكرة لم يتم تعيينها بعد، سيعرض المكون الإضافي الحوار التالي.

• اضغط YES لتوفير تفريغ ذاكرة ليتم تحميله إلى الذاكرة.

• اضغط NO لتعيين صفحة فارغة واحدة (0x1000) مملوءة بالأصفار
• اضغط Cancel لإيقاف المحاكاة

تعليمات غير معروفة

عندما يواجه المحاكي تعليمة غير معروفة، يمكن تخطيها واستعادة سياق المعالج يدويًا.

العروض

عناصر التحكم

مجرد لوحة للتحكم في التنفيذ.

سياق المعالج

سياق المعالج الحالي.

في كل مرة تتوقف فيها المحاكاة، سيتم تمييز السجلات المتغيرة. يمكن عرض السجلات في عمود أو عمودين أو ثلاثة عبر القائمة المنبثقة.

من الممكن تحديث سياق المعالج عبر القائمة المنبثقة (انظر أدناه).

سياق المعالج الموسع

سياق المعالج الموسع الحالي.

في كل مرة تتوقف فيها المحاكاة، سيتم تمييز السجلات المتغيرة. يمكن عرض السجلات في عمود أو عمودين أو ثلاثة عبر القائمة المنبثقة.

من الممكن تحديث سياق المعالج عبر القائمة المنبثقة (انظر أدناه).

الذاكرة

استخدم هذا العرض لمراقبة مناطق الذاكرة لعنوان وحجم محددين. سيتم عرض التعليق في العنوان للراحة.

في كل مرة تتوقف فيها المحاكاة، سيتم تمييز كتل الذاكرة المتغيرة.

تحديث سياق المعالج

يمكن تغيير قيم السجلات بشكل فردي أو دفعة واحدة باستخدام ملف JSON عبر القائمة المنبثقة. يمكن أيضًا حفظ السياق الحالي في ملف JSON للاستخدام المستقبلي.

القائمة الرئيسية للمكون الإضافي

بالإضافة إلى جميع الوظائف المدرجة في القائمة المنبثقة، هناك أمران جديدان.

عرض الذاكرة المعينة

عرض جميع المناطق المعينة. استخدم القائمة المنبثقة لعرض الذاكرة لمنطقة معينة أو تفريغها إلى ملف.

جلب المقاطع

يحاول هذا الأمر مزامنة مقاطع IDA مع الذاكرة المعينة عن طريق إنشاء تعيينات جديدة أو دمجها مع الموجودة إن أمكن. يساعد هذا في إضافة مقاطع IDA جديدة إلى المحاكي أثناء التشغيل دون إعادة تشغيل المحاكي.

تحميل مشروع

تحميل حالة uEmu من ملف.

حفظ مشروع

حفظ حالة uEmu إلى ملف. يرجى ملاحظة أنه يتم حفظ السجلات المحددة في المكون الإضافي فقط.

الإعدادات

• Follow PC يقوم بتمرير عرض IDA إلى عداد البرنامج الحالي أثناء المحاكاة
• Convert to Code automatically هو تحويل بيانات IDA تحت المؤشر إذا لم تكن كودًا
• Trace instructions يطبع كل تعليمة ينفذها المحاكي
• Lazy mapping يضيف الصفحات عند الطلب بدلاً من تعيين جميع المناطق الموجودة عند البدء

الامتدادات

من الممكن أيضًا إضافة وظائف جديدة أو بناء مشروعك فوق uEmu باستخدام نظام الامتدادات.
يرجى العثور على الوصف مع مثال هنا

• crauEmu - امتداد لتطوير وتحليل الحمولات لهجمات إعادة استخدام الكود.