suleram/view8يفكّك تجميع كود V8 الثنائي المتسلسل (ملفات JSC) إلى كود JavaScript عالي المستوى قابل للقراءة ويشبه الكود الأصلي، مع دعم لإصدارات متعددة من V8، وإخراج شجري، وتسمية حتمية للدوال لتحليل البرمجيات الخبيثة.
View8 هي أداة تحليل ثابتة مصممة لفك تجميع كائنات V8 bytecode المتسلسلة (ملفات JSC) إلى كود قابل للقراءة عالي المستوى. لتحليل وتفكيك هذه الكائنات المتسلسلة، تستخدم View8 ثنائي V8 مُجمّعًا ومُعدّلًا. ونتيجة لذلك، تُنتج View8 مخرجات نصية مشابهة لجافاسكريبت.
9.4.146.24 (المستخدم في Node V16.x)10.2.154.26 (المستخدم في Node V18.x)11.3.244.8 (المستخدم في Node V20.x)للإصدارات المُجمّعة، قم بزيارة صفحة الإصدارات.
--inp, -i: اسم ملف الإدخال.--out, -o: مسار المخرج. اعتمادًا على الخيارات المحددة، قد يكون المخرج ملفًا واحدًا أو شجرة مجلدات.--input_format, -f: تحديد صيغة الإدخال. الخيارات هي:
raw: الإدخال هو ملف JSC خام.disassembled: ملف الإدخال مفكك بالفعل.serialized: الإدخال مفكك التجميع بالفعل ومخزن في صيغة متسلسلة. الصيغة المتسلسلة الحالية هي Python pickle؛ استخدم الإدخال الموثوق فقط.--export_format, -e: تحديد صيغة (صيغ) التصدير. الخيارات هي v8_opcode وtranslated وdecompiled وserialized. يمكن دمج خيارات متعددة. الافتراضي: decompiled.--path, -p: مسار ثنائي المفكك. مطلوب إذا كان الإدخال بصيغة raw ولم تتمكن View8 من تحديد موقع المفكك المطابق تلقائيًا.--scope: نشر وسائط النطاق. الافتراضي: 1.--normalize: استبدال معرفات الدوال المشتقة من العناوين بأسماء حتمية بناءً على ترتيب التحليل.--normalize-map [CSV]: أثناء استخدام --normalize، كتابة ملف CSV يربط كل اسم دالة أصلي باسمه المُطبّع. عند حذف المسار، تستنتج View8 <output>.name_map.csv من --out، أو من --inp عندما لا يتم تعيين مسار مخرج.--tree, -t: تقسيم المخرج إلى بنية شجرية بدلاً من تخزين جميع الدوال في ملف واحد. حدد الدالة التي ستُستخدم كجذر الشجرة. للبدء من الدالة الرئيسية الافتراضية، استخدم start.--split_mode: وضع تقسيم الشجرة. الخيارات هي declarers وcalls وreferences. الافتراضي: declarers.--inline_depth, -d: في وضعي calls وreferences، تضمين الدوال التي يمكن الوصول إليها من جذر الشجرة المحدد حتى العمق N في ملف الشجرة الرئيسي. العمق 0 يعني الجذر المحدد فقط؛ العمق 1 يشمل المستدعين/المراجع المباشرة؛ العمق 2 يشمل توابعهم. لا يُستخدم مع declarers.--inline_branch_limit, -l: في وضع الشجرة، تضمين فروع فرعية كاملة تحتوي على N دوال على الأكثر في ملف الشجرة الرئيسي عندما يتم تضمين الفروع الفرعية بواسطة --inline_depth. يتم حفظ الفروع الأكبر بشكل منفصل.--split_depth: في وضعي calls وreferences، تحديد مدى عمق اجتياز فروع الاستخدام المُصدَّرة. الافتراضي: 4.--include, -n: ملف يحتوي على الدوال المراد تضمينها في المخرج.--exclude, -x: ملف يحتوي على الدوال المراد استبعادها من المخرج.--func: عرض دالة محددة.--show_all: في وضع عرض الدالة، إظهار الأسطر المميزة كمخفية أيضًا.--verbosity, -v: مستوى التفصيل. النطاق المقبول: 0 إلى 3.لفك تجميع ملف V8 bytecode وتصدير الكود المفكك:
python view8.py -i input_file -o output_fileافتراضيًا، تكتشف View8 إصدار V8 bytecode لملف الإدخال باستخدام VersionDetector.exe وتبحث تلقائيًا عن ثنائي مفكك متوافق في مجلد Bin. يمكن تغيير ذلك بتحديد ثنائي مفكك مختلف باستخدام خيار --path أو -p:
python view8.py -i input_file -o output_file --path /path/to/disassemblerلتخطي عملية التفكيك وتقديم ملف مفكك بالفعل كإدخال، استخدم خيار --input_format disassembled أو -f disassembled:
python view8.py -i input_file -o output_file -f disassembledاستخدم --normalize لاستبدال أسماء الدوال المشتقة من العناوين بمعرفات حتمية. للحفاظ على العلاقة بين الأسماء الأصلية والمطبّعة، أضف --normalize-map:
python view8.py \
--input_format disassembled \
--inp sample.jsc.disasm.txt \
--normalize \
--normalize-map \
--out decompiled/sample.dec.txt \
--export_format decompiled serializedيكتب هذا ملف decompiled/sample.dec.name_map.csv بالأعمدة التالية:
original_name,normalized_name
func_start_0x268514e9dcd9,func_start_0x100000000
func_rne_0x268514eb0779,func_rne_0x100000001يمكن أيضًا تقديم مسار CSV صريح:
python view8.py \
--input_format disassembled \
--inp sample.jsc.disasm.txt \
--normalize \
--normalize-map mappings/sample.names.csv \
--out decompiled/sample.dec.txtأحيانًا يكون من المفيد فك تجميع الملف إلى صيغة متسلسلة تحافظ على الكائنات والهياكل المُحلَّلة. قد يكون هذا النوع من المخرجات أسهل في المعالجة اللاحقة من الصيغة النصية، على سبيل المثال أثناء مزيد من إزالة التعتيم. لإنشاء مخرج متسلسل، استخدم صيغة التصدير serialized:
python view8.py -i input_file -o output_file -e serializedتحذير أمني: الصيغة المتسلسلة الحالية هي ملف Python pickle (.pkl). يمكن أن يؤدي إلغاء تسلسل البيانات من مصادر غير موثوقة إلى تنفيذ كود عشوائي. قم فقط بتحميل الملفات المتسلسلة التي أنشأتها بنفسك.
لتحميل مخرج متسلسل مرة أخرى وتصديره بصيغة أخرى، استخدم --input_format serialized أو -f serialized:
python view8.py -i input_file -o output_file -f serializedحدد صيغة (صيغ) التصدير باستخدام خيار --export_format أو -e. يمكنك دمج صيغ متعددة:
v8_opcodetranslateddecompiledserializedعلى سبيل المثال، لتصدير كل من V8 opcodes والكود المفكك جنبًا إلى جنب:
python view8.py -i input_file -o output_file -e v8_opcode decompiledافتراضيًا، الصيغة المستخدمة هي decompiled.
بالنسبة للحمولات المجمّعة الكبيرة، قد يكون كتابة جميع الدوال المفككة في ملف واحد صعب التحليل. يقسم مخرج الشجرة الجذر المحدد والدوال ذات الصلة إلى بنية مجلدات.
استخدم --tree لتحديد جذر الشجرة:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_out/ \
--tree startالقيمة الخاصة start تعني الدالة الرئيسية الافتراضية التي استعادتها View8.
يمكن تقسيم الشجرة باستخدام أحد الأوضاع الثلاثة:
declarers: يتبع علاقات التصريح المعجمي، أي الدوال المُصرَّح عنها داخل أو تحت دالة أخرى. هذا مفيد لفهم البنية المجمّعة أو الشبيهة بالوحدات، لكنه لا يمثل تدفق التنفيذ.calls: يتبع استدعاءات الدوال المباشرة، مثل func_x(...). هذا مفيد لاستعادة الهيكل التنفيذي من جذر محدد.references: يتبع جميع مراجع الدوال المرئية، وليس فقط الاستدعاءات المباشرة. يشمل ذلك عمليات الاسترجاع ومعالجات التصدير ومعالجات المسارات وخصائص الكائنات والدوال المعينة الأخرى. هذا الوضع مفيد لاكتشاف أسطح القدرات، لكنه قد ينتج أشجارًا أكبر بكثير من calls.مثال:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode callsيحتوي ملف الشجرة الرئيسي دائمًا على دالة الجذر المحددة.
في وضعي calls وreferences، يتحكم --inline_depth في عدد مستويات الرسم البياني المضمنة في الملف الرئيسي:
--inline_depth 0 -> الجذر فقط
--inline_depth 1 -> الجذر + المستدعين/المراجع المباشرة
--inline_depth 2 -> الجذر + المستدعين/المراجع المباشرة + توابعهمعلى سبيل المثال، ينشئ الأمر التالي نظرة عامة تنفيذية مدمجة تحتوي على الجذر والمستدعين المباشرين:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode calls \
--inline_depth 1لتضمين طبقة استدعاء إضافية واحدة:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode calls \
--inline_depth 2--inline_depth مدعوم فقط مع وضعي calls وreferences. لا يُستخدم مع declarers.
يتم حفظ الفروع الفرعية الكبيرة في ملفات منفصلة. في وضعي calls وreferences، يتحكم --split_depth في مدى عمق اجتياز فروع الاستخدام المُصدَّرة:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode calls \
--inline_depth 1 \
--split_depth 5يتحكم خيار --inline_branch_limit في ما إذا كانت الفروع الفرعية الكاملة الصغيرة مضمنة أيضًا في الملف الرئيسي:
--inline_branch_limit 3هذا يعني أن الفروع الفرعية الكاملة التي تحتوي على 3 دوال على الأكثر قد يتم تضمينها في الملف الرئيسي. يتم حفظ الفروع الأكبر بشكل منفصل.
في وضعي calls وreferences، يتم تضمين الفروع الفرعية فقط عندما يتضمن --inline_depth المحدد بالفعل دوال فرعية. على سبيل المثال، --inline_depth 0 يعني الجذر فقط، لذلك لا يتم تضمين الفروع الفرعية حتى لو كانت صغيرة.
للحصول على نظرة عامة تنفيذية مدمجة:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode calls \
--inline_depth 1 \
--split_depth 5للحصول على نظرة عامة معمارية أوسع:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_calls/ \
--tree start \
--split_mode calls \
--inline_depth 2 \
--split_depth 5لعمليات الاسترجاع المُصدَّرة والمعالجات والمسارات وأسطح القدرات:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_refs/ \
--tree start \
--split_mode references \
--inline_depth 1 \
--split_depth 3للبنية المعجمية أو الشبيهة بالوحدات:
python view8.py \
--inp input.pkl \
--input_format serialized \
--out ./tree_declarers/ \
--tree start \
--split_mode declarers \
--split_depth 3لعرض دالة محددة، استخدم --func:
python view8.py \
--inp input.pkl \
--input_format serialized \
--func func_nameلإظهار الأسطر المميزة كمخفية أيضًا:
python view8.py \
--inp input.pkl \
--input_format serialized \
--func func_name \
--show_allيتم تخزين إصدار V8 bytecode كقيمة تجزئة (hash) في بداية الملف. فيما يلي الخيارات المتاحة لـ VersionDetector.exe:
-h: استرداد إصدار وإرجاع قيمة التجزئة الخاصة به.-d: استرداد قيمة تجزئة بصيغة little-endian وإرجاع الإصدار المقابل باستخدام القوة الغاشمة.-f: استرداد ملف وإرجاع إصداره.