Dieses Projekt hat wirklich Spaß gemacht und war mein erstes "großes" Projekt! Es gibt jetzt bessere, intelligentere und stärkere Lösungen: https://github.com/LaurieWired/GhidraMCP

Bis dann, Space-Cowboy

Sekiryu v0.0.2

Dieses Ghidra-Toolkit ist eine umfassende Sammlung von Werkzeugen, die dazu entwickelt wurden, verschiedene Aufgaben im Zusammenhang mit dem Ausführen von Ghidra im Headless-Modus zu optimieren und zu automatisieren. Das Toolkit bietet eine breite Palette von Skripten, die sowohl innerhalb als auch neben Ghidra ausgeführt werden können. Es ermöglicht Benutzern, Aufgaben wie Schwachstellensuche, Pseudocode-Kommentierung mit ChatGPT und Berichterstellung mit Datenvisualisierung für die analysierte Codebasis durchzuführen. Es erlaubt Benutzern, ihre eigenen Skripte zu laden und zu speichern und mit der integrierten API des Skripts zu interagieren.

Hauptfunktionen

• Headless-Modus-Automatisierung: Das Toolkit ermöglicht es Benutzern, Ghidra nahtlos im Headless-Modus zu starten und auszuführen, was eine automatisierte und batch-verarbeitende Codeanalyse ermöglicht.

• Skript-Repository/-Verwaltung: Das Toolkit enthält ein Repository vorgefertigter Skripte, die innerhalb von Ghidra ausgeführt werden können. Diese Skripte decken eine Vielzahl von Funktionen ab und ermöglichen es Benutzern, verschiedene Analyse- und Manipulationsaufgaben durchzuführen. Es erlaubt Benutzern, ihre eigenen Skripte zu laden und zu speichern, was Flexibilität und Anpassungsmöglichkeiten für ihre spezifischen Analyseanforderungen bietet. Benutzer können ihre Skriptsammlung einfach verwalten und organisieren.

• Flexible Eingabeoptionen: Benutzer können das Toolkit nutzen, um einzelne Dateien oder ganze Ordner mit mehreren Dateien zu analysieren. Diese Flexibilität ermöglicht eine effiziente Analyse sowohl kleiner als auch großer Codebasen.

Verfügbare Skripte

• Schwachstellensuche mit Mustererkennung: Nutzen Sie die Skripte des Toolkits, um potenzielle Schwachstellen in der analysierten Codebasis zu identifizieren. Dies hilft Sicherheitsforschern und Entwicklern, Sicherheitsschwachstellen aufzudecken und proaktiv zu beheben.
• Schwachstellensuche mit SemGrep: Dank des Sicherheitsforschers 0xdea und seines Regelsatzes können wir einfache Regeln und SemGrep verwenden, um Schwachstellen im C/C++-Pseudocode zu erkennen (ihr GitHub: https://github.com/0xdea/semgrep-rules)
• Automatische Pseudocode-Generierung: Generieren Sie automatisch Pseudocode im Headless-Modus von Ghidra. Diese Funktion hilft beim Verstehen und Dokumentieren der Codelogik ohne manuelles Eingreifen.
• Pseudocode-Kommentierung mit ChatGPT: Verbessern Sie die Lesbarkeit und das Verständnis der Codebasis, indem Sie ChatGPT verwenden, um menschenähnliche Kommentare für Pseudocode-Ausschnitte zu generieren. Diese Funktion hilft bei der Dokumentation und Erklärung der Codelogik.
• Berichterstellung und Datenvisualisierung: Erstellen Sie umfassende Berichte mit Visualisierungen, um die Analyseergebnisse effektiv zusammenzufassen und darzustellen. Das Toolkit bietet Datenvisualisierungsmöglichkeiten, um Muster, Abhängigkeiten und Anomalien in der Codebasis zu identifizieren.

Voraussetzungen

Bevor Sie dieses Projekt verwenden, stellen Sie sicher, dass Sie die folgende Software installiert haben:

• Ghidra: Sie können Ghidra aus dem GitHub-Repository der National Security Agency herunterladen @ https://github.com/NationalSecurityAgency/ghidra
• Java: Stellen Sie sicher, dass Sie das Java Development Kit (JDK) Version 17 oder höher installiert haben. Sie können es von der OpenJDK-Website herunterladen @ https://openjdk.org/projects/jdk/17/
• BinExport (OPTIONAL) Befolgen Sie die Anweisungen zur Installation der Ghidra-Erweiterung https://github.com/google/binexport
• SemGrep (OPTIONAL) Befolgen Sie die detaillierten Anweisungen https://semgrep.dev/docs/getting-started/

Installation

• Installieren Sie die oben genannten Voraussetzungen.
• Laden Sie das Sekiryu-Release direkt von GitHub herunter oder verwenden Sie: pip install sekiryu.

Verwendung

Um das Skript zu verwenden, können Sie es einfach gegen eine Binärdatei mit den gewünschten Optionen ausführen.

• sekiryu [-F FILE][OPTIONS]

Bitte beachten Sie, dass die Durchführung einer Binäranalyse mit Ghidra (oder einem anderen Produkt) ein relativ langsamer Prozess ist. Gehen Sie daher davon aus, dass die Binäranalyse je nach Host-Leistung mehrere Minuten dauern kann. Wenn Sie Sekiryu gegen eine sehr große Anwendung oder eine große Anzahl von Binärdateien ausführen, seien Sie darauf vorbereitet zu WARTEN

Demos

• Demo finden Sie unter www.bushido-sec.com

API

Das "server.py" ist im Grunde dazu gebaut, Skripten zu ermöglichen, mit Ghidra und untereinander sowie mit dem Host-System zu interagieren. 
Ein Benutzer kann leicht sein eigenes Skript entwickeln, es laden und im Skript-Ordner speichern und die bekannten Funktionen der API nutzen, um mit Ghidra zu interagieren.    

Um es zu nutzen, muss der Benutzer xmlrpc in sein Skript importieren und die Funktion aufrufen, zum Beispiel: proxy.send_data

Funktionen

• send_data() - Ermöglicht dem Benutzer, Daten an den Server zu senden. ("data" ist ein Dictionary)
• recv_data() - Ermöglicht dem Benutzer, Daten vom Server zu empfangen. ("data" ist ein Dictionary)
• request_GPT() - Ermöglicht dem Benutzer, String-Daten über die ChatGPT-API zu senden.

Verwenden Sie Ihre eigenen Skripte

Skripte werden im Ordner /modules/scripts/ gespeichert. Sie können Ihr Skript einfach dort hineinkopieren. In der Datei ghidra_pilot.py finden Sie die folgende Funktion, die für die Ausführung eines Headless-Ghidra-Skripts verantwortlich ist:

def exec_headless(file, script):
	"""
	Execute the headless analysis of ghidra
	"""
	path = ghidra_path + 'analyzeHeadless'
	# Setting variables
	tmp_folder = "/tmp/out"
	os.mkdir(tmp_folder)
	cmd = ' ' + tmp_folder + ' TMP_DIR -import'+ ' '+ file + ' '+ "-postscript "+ script +" -deleteProject"	

	# Running ghidra with specified file and script
	try:	
		p = subprocess.run([str(path + cmd)], shell=True, capture_output=True)
		os.rmdir(tmp_folder)

	except KeyError as e:
		print(e)
		os.rmdir(tmp_folder)

Die Verwendung ist recht einfach: Sie können Ihr eigenes Skript erstellen und dann eine Funktion in der ghidra_pilot.py hinzufügen, wie zum Beispiel:

def yourfunction(file):
	try:
		# Setting script
		script = "modules/scripts/your_script.py"
	
		# Start the exec_headless function in a new thread
		thread = threading.Thread(target=exec_headless, args=(file, script))
		thread.start()
		thread.join()
	except Exception as e:
		print(str(e))

Die Datei cli.py ist für die Befehlszeilenschnittstelle zuständig und ermöglicht es Ihnen, Argumente und zugehörige Befehle wie folgt hinzuzufügen:

analysis_parser.add_argument('[-ShortCMD]', '[--LongCMD]', help="Your Help Message", action="store_true")

Beiträge

• Skripte/SKRIPTE/SKRIIIIIPTE: Dieses Tool ist als Toolkit konzipiert, das es Benutzern ermöglicht, ihre eigenen Skripte einfach zu speichern und auszuführen. Wenn Sie zu irgendeiner Art von Skript beitragen können (alles Interessante wird genehmigt!), ist das willkommen!
• Optimierung: Jede Art von Optimierung ist willkommen und wird fast automatisch genehmigt und bei jeder Veröffentlichung bereitgestellt. Einige nette Dinge könnten sein: Verbesserung der Parallelverarbeitung, Codebereinigung und allgemeine Verbesserung.
• Malware-Analyse: Dies ist ein großer Teil, mit dem ich nicht vertraut bin. Jeder Malware-Analytiker, der beitragen möchte, kann Ideen, Skripte vorschlagen oder sogar direkt Code in das Projekt einreichen.
• Berichterstellung: Ich bin kein Datenvisualisierungsingenieur. Wenn jemand bereit ist, zu diesem Teil beizutragen oder ihn zu verbessern, wäre das sehr schön.

Warnung

Das xmlrpc.server-Modul ist nicht sicher gegen böswillig konstruierte Daten. Wenn Sie nicht vertrauenswürdige oder nicht authentifizierte Daten parsen müssen, lesen Sie die XML-Sicherheitslücken.

Für weitere Informationen über Bushido Security besuchen Sie bitte unsere Website: https://www.bushido-sec.com/.