FAT — مجموعة أدوات تحليل البرامج الثابتة

مجموعة أدوات تحليل البرامج الثابتة هي مجموعة أدوات بحث أمني للتحقيق في أمن البرامج الثابتة لأجهزة إنترنت الأشياء والذكاء الاصطناعي الفيزيائي والأجهزة المحمولة والروبوتات. وهي مبنية بشكل أساسي لدورة تدريب "Offensive IoT Exploitation" التي تقدمها Attify.

تم بناؤها بناءً على خبرة ميدانية عملية حقيقية حول ما يهم فعلاً عندما يتعلق الأمر بالتحقيقات الحقيقية في أمن البرامج الثابتة.

هدف FAT ليس فقط بناء مجموعة أدوات استثنائية عالمية المستوى لأبحاث أمن البرامج الثابتة، بل أيضاً تكوين محترفين وممارسين يعملون بأقصى إمكاناتهم، حيث تصبح الأداة قوة إدراكية فائقة إذا استُخدمت بطرق معينة، مع بقائها سهلة بما يكفي لمن هم جدد في هذا المجال.

تتضمن بعض الميزات تصنيف البرامج الثابتة غير المعروفة، واستخراج أنظمة الملفات، ورسم خرائط الكود ذي الصلة بالثقة، وتتبع تدفق البيانات، وتنسيق محاكاة QEMU.

ما يمكن لـ FAT تحليله

• الكتل والدلائل غير المعروفة: الحاويات، الأعضاء المضغوطة، المناطق عالية الإنتروبيا، إشارات MCU، وملفات البرامج الثابتة المرشحة
• صور البرامج الثابتة: الرؤوس، أغلفة التحديث، الأقسام، محملات الإقلاع، والاختلافات بين الصور
• أنظمة ملفات Linux المستخرجة: الجرد، نية بدء التشغيل، الثنائيات الحاملة للثقة، مواد التشفير، وأدلة النصوص
• ثنائيات ELF: الواردات، الصادرات، جداول المعالجات، نقاط تسرب الكود المجرد، التفكيك، وتتبع تدفق البيانات من المصدر إلى نقطة التسرب
• صور الأنظمة المدمجة و MCU: جداول المتجهات، خرائط الذاكرة، تلميحات الأجهزة الطرفية، صلاحية الكتابة على الفلاش، وأدلة تسليم الإقلاع
• أدوات الذكاء الاصطناعي الطرفي: ملفات MAGIK/JZDL و TFLite و ONNX و Qualcomm DLC بالإضافة إلى بيئات تشغيل الاستدلال المرئية
• تطبيقات Android: جرد APK، خيوط الاكتشاف، الموقعية، سلاسل القدرات، وحدود التسليم
• مستودعات المصدر: استعلامات الثوابت، إرشادات التصحيح، والبحث عن المتغيرات القريبة

بدء سريع

استنسخ المستودع، ثم ابنِ باستخدام Rust 1.90 أو أحدث، ثم ثبّت:

git clone https://github.com/attify/firmware-analysis-toolkit.git
cd firmware-analysis-toolkit
cargo build --release --locked
cargo install --path crates/fat_cli --locked
fat doctor

مثبّت بنقرة واحدة:

./scripts/install.sh --install-system-deps

راجع INSTALL.md لمزيد من التخصيص في عملية التثبيت.

مرجع سريع للأوامر

• المساعدة: fat -h
• تحديد البرنامج الثابت: fat $firmware أو fat identify --file $firmware
• مشروع جديد: fat new $firmware
• استخراج نظام الملفات: fat extract $firmware
• التحليل: fat analyze $firmware
• المحاكاة: fat emulate --project $firmware

أول اتصال بملف غير معروف

fat ./firmware.bin
fat inspect update --file ./firmware.bin --rootfs ./rootfs --reference ./older.bin

من الصورة إلى بيئة التشغيل

خط الأنابيب من البداية السريعة، من البداية إلى النهاية:

fat new ./firmware.bin
fat extract .fat-projects/firmware
fat analyze .fat-projects/firmware
fat preflight .fat-projects/firmware
fat emulate --project .fat-projects/firmware

فرز الثنائيات وتدفق البيانات

fat r2-triage --file ./usr/sbin/httpd --json
fat taint --file ./www/cgi-bin/diag.cgi --summary
fat taint-query --file ./www/cgi-bin/diag.cgi
fat taint-cross --rootfs ./rootfs
fat taint-cross --rootfs ./rootfs --source-profile ./my-target-models.yaml --state-profile ./my-target-state.yaml

تدفق بيانات سكربتات الصدفة

fat taint --lang shell --file ./app/init/wifi.sh --summary
fat taint --lang shell --rootfs ./extracted-rootfs --json
fat taint --lang shell --rootfs ./extracted-rootfs --source-profile ./my-target-shell.yaml --severity high

الثنائيات المجردة

ابحث عن نقاط التسرب بشكل ثابت، ثم جهّز خطافات وقت التشغيل لنفس العناوين:

fat r2-triage --file ./usr/sbin/httpd --json
fat sink-discovery --file ./usr/sbin/httpd --json > sinks.json
fat handler-table --file ./usr/sbin/httpd --json > handlers.json
fat taint --file ./usr/sbin/httpd --sink-candidates sinks.json --json > taint.json
fat instrument-hooks --from-sinks sinks.json --output hooks.yaml
fat emulate --project .fat-projects/firmware --instrument hooks.yaml

مسح شامل للأدلة عبر نظام الملفات

fat tree --rootfs ./rootfs --profile inventory --summary --json
fat search --rootfs ./rootfs --profile credentials -I --context 2
fat startup-map --rootfs ./rootfs --profile cloud-tls
fat crypto-census --rootfs ./rootfs
fat trust-map --rootfs ./rootfs

استعلام الثوابت المدعوم بالمصدر

fat invariant query \
  --fixture tests/fixtures/query/source/invariant-permission \
  --rule 'Every privileged override method must call enforcePermission()'
fat patch check --help
fat verify --help

الأمان

• المحاكاة تنفذ كود بائع غير موثوق.
• راجع SECURITY.md قبل معالجة صور غير موثوقة أو تعريض خدمة محاكاة لشبكة.
• من مسؤوليتك الحصول على إذن للأهداف التي تعمل عليها.

أدلة مفصلة

المشرفون

تم تأليف FAT بواسطة adi0x90، وهو أيضاً المشرف الحالي والمساهم الرئيسي. تتم صيانة المشروع تحت Attify.

الترخيص

FAT 2.0 متاح المصدر بموجب FSL-1.1-ALv2. راجع LICENSING.md و THIRD_PARTY_NOTICES.md لمزيد من التفاصيل.