مختبرات FireEye - أداة التصحيح الموجهة للاستعلامات

flare-qdb هي أداة سطر أوامر وقابلة للبرمجة مبنية على بايثون لتقييم ومعالجة حالة البرنامج الأصلية. تستخدم Vivisect لتعيين نقطة توقف على كل تعليمة يتم الاستعلام عنها وتنفيذ كود بايثون عند الوصول إليها.

تحرر flare-qdb المحلل من اتباع نهج خطي في التحليل الديناميكي ليتناسب مع الأسئلة التي تنشأ أثناء التصحيح العادي والتحليل الثابت. تجيب flare-qdb على هذه الأسئلة دون حاجة المحلل إلى إعداد جلسة تصحيح تفاعلية يدويًا والتنقل بعداد البرنامج إلى موقع الكود ذلك.

فيما يلي بعض الأمثلة على الأسئلة الفورية التي يمكن لـ flare-qdb الإجابة عليها:

• هل يتساوى eax دائمًا مع هذه القيمة عند هذه النقطة؟
• ما قيمة eax قبل هذا الفرع؟
• ما القيم التي ستتخذها هذه السلسلة خلال هذه الحلقة؟
• في التكرار الأول من الحلقة الداخلية، ما عنوان القاعدة المستخدم؟
• هل سيصل البرنامج إلى هذا المنطق على الإطلاق؟
• أي كود يُنفذ أولاً؟
• هل يعتمد عدد تكرارات الحلقة على قيمة argv[1]؟
• هل يمكنني تعديل وسيطات سطر الأوامر لتجنب هذه الحالة؟

يمكن أيضًا استخدام flare-qdb لتسهيل التلاعب الآلي والقابل للتكرار بتنفيذ البرنامج. فيما يلي بعض الأمثلة على التطبيقات المفيدة:

• تنفيذ مفكك تشفير سلاسل بوسائط مختلفة لاستخراج جميع السلاسل التي يستخدمها نموذج برمجيات خبيثة بسرعة.
• تجاوز الوسائط لـ Sleep() للسماح بالاختبار التكراري السريع لخادم تحكم وقيادة (C2) مخصص.
• إخبار أداة تصعيد الامتيازات بأن مستوى تكاملها هو 0x1000 (MANDATORY_LOW_RID) لدفعها إلى تنفيذ كود استغلال الثغرات.
• أتمتة فك ضغط أداة ضغط تقفز إلى موقع أو أكثر من مواقع الكومة غير الحتمية بشكل قابل للتكرار.

تقبل flare-qdb استعلامات متعددة تأخذ شكل عداد برنامج أو تعبير Vivisect مقترنًا بنص بايثون لتقييمه في بيئة البرمجة النصية لـ flare-qdb. يمكن استخدام تعبيرات Vivisect لتحديد قيم عداد برنامج ثابتة بسيطة مثل "0x401000"، وتعبيرات رمزية مثل "kernel32.Sleep"، والمزيد. يمكن لتعبيرات Vivisect أيضًا دمج حالة السجلات والذاكرة لصياغة شروط متقدمة، مثل "not eax or (( edx > 3) and (poi(ebp-8) < 5))".

تنسيق وسيطة سطر الأوامر لذلك هو:

-at <vexpr-pc> <pythontext>

تدعم flare-qdb أيضًا التقييم الشرطي بناءً على قيمة الصحة لتعبير Vivisect:

-at-if <vexpr-pc> <vexpr-conds> <pythontext>

توفر flare-qdb عدة دوال مدمجة لتصحيح الأخطاء بشكل ملائم، وهي متاحة من سطر الأوامر وكطرق من المثيلات لفئة Qdb الخاصة بها.

تم اختبار flare-qdb بشكل أساسي على Windows، لكنه يعمل على Linux. لسوء الحظ، فإن نقل Darwin لفئة vtrace.Trace الخاصة بـ Vivisect غير مكتمل، لذلك لا تدعم flare-qdb نظام OSX.

نصوص برمجية مثال

تأتي flare-qdb مع De-DOSfuscator، وهي أداة لفك تشفير ملفات الدُفعة المبهمة عن طريق تشغيلها. يمكن العثور على التفاصيل في دليل De-DOSfuscator أو من خلال قراءة المدونة Cmd and Conquer: De-DOSfuscation with flare-qdb.

معلومات مفصلة

• تتوفر معلومات حول تثبيت flare-qdb في دليل التثبيت.
• تتوفر معلومات حول استخدام flare-qdb من سطر الأوامر في دليل استخدام سطر الأوامر.
• تتوفر معلومات حول البرمجة النصية باستخدام flare-qdb في دليل البرمجة النصية. يمكن العثور على طرق فئة Qdb الخاصة بالبرمجة النصية في مرجع الطرق.
• المرجع الكامل للدوالمدمجة في flare-qdb (المتاحة من سطر الأوامر وكطرق من المثيلات) موجود في مرجع الدوالمدمجة أو بكتابة flareqdb --help-builtins بعد تثبيت flare-qdb.
• يمكن العثور على توثيق De-DOSfuscator في دليل De-DOSfuscator.
• تتوفر معلومات استكشاف الأخطاء وإصلاحها في دليل استكشاف الأخطاء.
• يمكن العثور على الشكر والأفكار حول الوظائف المستقبلية التي قد تكون مفيدة في الملاحظات.