rhabdomancer

„Der Weg zu ausnutzbaren Bugs ist mit nicht ausnutzbaren Bugs gepflastert."

-- Mark Dowd

Rhabdomancer ist ein blitzschnelles IDA-Headless-Plugin, das Aufrufe potenziell unsicherer API-Funktionen in einer Binärdatei lokalisiert. Auditoren können von diesen Kandidatenpunkten aus zurückverfolgen, um Pfade zu finden, die Zugriff auf nicht vertrauenswürdige Eingaben ermöglichen.

Funktionen

• Blitzschnelle, headless Benutzererfahrung dank IDA 9.x und idalib-rs Rust-Bindings.
• Unterstützung für C/C++-Binärziele, die für jede von IDA implementierte Architektur kompiliert wurden.
• Positionen von Aufrufen schlechter API-Funktionen werden auf stdout ausgegeben und in der IDB markiert.
• Bekannte schlechte API-Funktionen sind in Schweregradstufen gruppiert, um die Audit-Arbeit zu priorisieren.
  • [BAD 0] Hohe Priorität – Funktionen, die allgemein als unsicher gelten.
  • [BAD 1] Mittlere Priorität – Interessante Funktionen, die auf unsichere Verwendungsfälle geprüft werden sollten.
  • [BAD 2] Niedrige Priorität – Codepfade, die diese Funktionen betreffen, sollten sorgfältig geprüft werden.
• Die Liste der bekannten schlechten API-Funktionen kann durch Bearbeiten von conf/rhabdomancer.toml einfach angepasst werden.

Artikel

• https://hex-rays.com/blog/streamlining-vulnerability-research-idalib-rust-bindings
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-ida-pro-and-rust

Siehe auch

• https://github.com/0xdea/ghidra-scripts/blob/main/Rhabdomancer.java
• https://docs.hex-rays.com/release-notes/9_0#headless-processing-with-idalib
• https://github.com/idalib-rs/idalib
• https://books.google.it/books/about/The_Art_of_Software_Security_Assessment.html

Installation

Der einfachste Weg, die neueste Version zu erhalten, führt über crates.io:

1. IDA herunterladen, installieren und konfigurieren (siehe https://hex-rays.com/ida-pro).
2. LLVM/Clang installieren (siehe https://rust-lang.github.io/rust-bindgen/requirements.html).
3. Unter Linux/macOS wie folgt installieren:
   root@kitploit:~

   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo install rhabdomancer --locked
   

   Unter Windows verwenden Sie stattdessen die folgenden Befehle:
   root@kitploit:~

   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo install rhabdomancer --locked
   

Kompilieren

Alternativ können Sie aus dem Quellcode bauen:

1. IDA herunterladen, installieren und konfigurieren (siehe https://hex-rays.com/ida-pro).
2. LLVM/Clang installieren (siehe https://rust-lang.github.io/rust-bindgen/requirements.html).
3. Unter Linux/macOS wie folgt kompilieren:
   root@kitploit:~

   git clone --depth 1 https://github.com/0xdea/rhabdomancer
   cd rhabdomancer
   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo build --release --locked
   

   Unter Windows verwenden Sie stattdessen die folgenden Befehle:
   root@kitploit:~

   git clone --depth 1 https://github.com/0xdea/rhabdomancer
   cd rhabdomancer
   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo build --release --locked
   

Verwendung

1. Stellen Sie sicher, dass IDA mit einer gültigen Lizenz ordnungsgemäß konfiguriert ist.
2. Passen Sie bei Bedarf die Liste der bekannten schlechten API-Funktionen in conf/rhabdomancer.toml an. Sie können den Standardspeicherort der Konfigurationsdatei überschreiben, indem Sie die Umgebungsvariable RHABDOMANCER_CONFIG setzen.
3. Stellen Sie sicher, dass die Umgebungsvariable IDADIR gesetzt ist, wenn sich Ihre IDA-Installation an einem nicht standardmäßigen Ort befindet.
4. Führen Sie wie folgt aus:
   root@kitploit:~

   rhabdomancer <binary_file>
   

   Eine vorhandene .i64-IDB-Datei wird aktualisiert; andernfalls wird eine neue IDB-Datei erstellt.
5. Öffnen Sie die resultierende .i64-IDB-Datei mit IDA.
6. Wählen Sie View > Open subviews > Bookmarks
7. Genießen Sie Ihre Ergebnisse, die bequem in einem IDA-Fenster gesammelt werden.

[!NOTE] Rhabdomancer fügt an markierten Aufrufpositionen auch Kommentare hinzu.

Kompatibilität

Offiziell wird nur die neueste IDA-Version unterstützt, aber ältere Versionen funktionieren möglicherweise ebenfalls. Die folgende Tabelle fasst die neueste kompatible Version für jede IDA-Version zusammen:

[!NOTE] Weitere Informationen finden Sie in der idalib-rs-Dokumentation.

Danksagungen

Die Entwicklung dieses Projekts wurde von den folgenden Organisationen unterstützt:

• HN Security
• Hex-Rays über ihr Contributor Program

Änderungsprotokoll

• CHANGELOG.md

TODO

• Die Liste der bekannten schlechten API-Funktionen weiter anreichern (siehe https://github.com/0xdea/semgrep-rules).
• Eine Erweiterung des Umfangs der Normalisierung in normalize_name in Betracht ziehen, um weitere Fälle abzudecken.
• Ein grundlegendes Regelset im Stil von VulFi und VulnFanatic implementieren.