IDA2Obj

IDA2Obj هي أداة لتنفيذ SBI (Static Binary Instrumentation).

سير العمل بسيط:

• تفريغ ملفات الكائنات (COFF) مباشرة من ثنائي قابل للتنفيذ.
• ربط ملفات الكائنات في ثنائي جديد، مطابق تقريبًا للقديم.
• أثناء عملية التفريغ، يمكنك إدراج أي بيانات/كود في أي موقع.
  • SBI هو مجرد أحد سيناريوهات الاستخدام، مفيد بشكل خاص للتحليل العشوائي الصندوق الأسود.

كيفية الاستخدام

0. تحضير البيئة:

   • ضبط AUTOIMPORT_COMPAT_IDA695 = YES في idapython.cfg لدعم API بأسلوب IDA 6.x القديم.
   • تثبيت التبعية: pip install cough

1. إنشاء مجلد كمساحة عمل.

2. نسخ الثنائي الهدف الذي تريد تحليله عشوائيًا إلى مساحة العمل.

3. تحميل الثنائي في IDA Pro، اختر تحميل الموارد و التحميل يدويًا لتحميل جميع القطاعات من الثنائي.

   

4. انتظر حتى اكتمال التحليل التلقائي.

5. تفريغ ملفات الكائنات عن طريق تشغيل السكريبت MagicIDA/main.py.

   • ستكون ملفات الكائنات الناتجة داخل ${workspace}/${module}/objs/afl.
   • إذا قمت بإنشاء ملف فارغ باسم TRACE_MODE داخل مساحة العمل، فستكون ملفات الكائنات الناتجة داخل ${workspace}/${module}/objs/trace.
   • بالمناسبة، سينشأ أيضًا 3 ملفات داخل ${workspace}/${module} :
     • exports_afl.def (يستخدم للربط)
     • exports_trace.def (يستخدم للربط)
     • hint.txt (يستخدم للتصحيح)

6. إنشاء ملفات lib عن طريق تشغيل السكريبت utils/LibImports.py.

   • ستكون ملفات lib الناتجة داخل ${workspace}/${module}/libs، تستخدم للربط لاحقًا.

7. افتح محطة طرفية وقم بتغيير الدليل إلى مساحة العمل.

8. ربط جميع ملفات الكائنات وملفات lib باستخدام utils/link.bat.

   • e.g. utils/link.bat GdiPlus dll afl /RELEASE
   • سينشأ ثنائي جديد مع ملف pdb داخل ${workspace}/${module}.

9. تصحيح الثنائي المبني الجديد باستخدام utils/PatchPEHeader.py.

   • e.g. utils/PatchPEHeader.py GdiPlus/GdiPlus.afl.dll
   • لأول مرة، قد تحتاج إلى تشغيل utils/register_msdia_run_as_administrator.bat كمسؤول.

10. تشغيل وتحليل عشوائي.

مزيد من التفاصيل

HITB Slides : https://github.com/jhftss/jhftss.github.io/blob/main/res/slides/HITB2021SIN%20-%20IDA2Obj%20-%20Mickey%20Jin.pdf

Demo : https://drive.google.com/file/d/1N3DXJCts5jG0Y5B92CrJOTIHedWyEQKr/view?usp=sharing