bincat

Einleitung

Was ist BinCAT?

BinCAT ist ein statisches Binary-Code-Analyse-Toolkit, das Reverse Engineers direkt in IDA oder mit Python zur Automatisierung unterstützen soll.

Es bietet:

• Wertanalyse (Register und Speicher)
• Taint-Analyse
• Typrekonstruktion und -weitergabe
• Rückwärts- und Vorwärtsanalyse
• Use-After-Free- und Double-Free-Erkennung

In Aktion

Sieh (eine ältere Version von) BinCAT in Aktion hier:

• Grundlegende Analyse
• Verwendung von Daten-Tainting

Schau dir das Tutorial an, um die entsprechenden Aufgaben zu sehen.

Kurze FAQ

Unterstützte Host-Plattformen:

• IDA-Plugin: alle, Version 7.4 oder neuer (nur Python 3 wird unterstützt)
• Analysator (lokal oder remote): Linux, Windows, macOS (vielleicht)

Unterstützte CPUs für die Analyse (vorerst):

• x86-32
• x86-64
• ARMv7
• ARMv8
• PowerPC

Installation

Nur IDA v7.4 oder neuer wird unterstützt

Ältere Versionen könnten funktionieren, aber wir werden sie nicht unterstützen.

Installation der Binärverteilung (empfohlen)

Die Binärverteilung enthält alles Nötige:

• den Analysator
• das IDA-Plugin

Installationsschritte:

• Extrahieren Sie die Binärverteilung von BinCAT (nicht das Git-Repo)
• Klicken Sie in IDA auf das Menü "Datei -> Skriptdatei..." (oder drücken Sie ALT-F7)
• Wählen Sie install_plugin.py
• BinCAT ist jetzt in Ihrem IDA-Benutzerverzeichnis installiert
• Starten Sie IDA neu

Manuelle Installation

Analysator

Der Analysator kann lokal oder über einen Webdienst verwendet werden.

Unter Linux:

• Mit Docker: Docker-Installationsanleitung
• Manuell: Build- und Installationsanleitung

Unter Windows:

• Build-Anleitung

IDA-Plugin

• Windows manuelle Installation.
• Linux manuelle Installation

BinCAT sollte mit IDA unter Wine funktionieren, sobald pip installiert ist:

• laden Sie https://bootstrap.pypa.io/get-pip.py herunter (überprüfen Sie, ob es gut ist ;)
• ~/.wine/drive_c/Python/python.exe get-pip.py

Verwenden von BinCAT

Schnellstart

• Laden Sie das Plugin mit der Tastenkombination Strg-Umschalt-B oder über das Menü Bearbeiten -> Plugins -> BinCAT
• Gehen Sie zu der Anweisung, bei der Sie die Analyse starten möchten
• Wählen Sie den Bereich BinCAT-Konfiguration, klicken Sie auf <-- Aktuell, um die Startadresse festzulegen
• Starten Sie die Analyse

Konfiguration

Globale Optionen können über das Menü Bearbeiten/BinCAT/Optionen konfiguriert werden.

Standardkonfiguration und -optionen werden in $IDAUSR/idabincat/conf gespeichert.

Optionen

• "Remote-BinCAT verwenden": auswählen, wenn Sie Docker in einem Docker-Container ausführen
• "Remote-URL": http://localhost:5000 (oder die URL eines entfernten BinCAT-Servers)
• "Autostart": BinCAT beim IDA-Start automatisch laden
• "In IDB speichern": Standardzustand für das Kontrollkästchen in IDB speichern

Dokumentation

Ein Handbuch wird bereitgestellt und hier finden Sie eine Beschreibung des Formats der Konfigurationsdatei.

Ein Tutorial hilft Ihnen, die Funktionen von BinCAT auszuprobieren.

Artikel und Präsentationen über BinCAT

• SSTIC 2017, Rennes, Frankreich: Artikel (englisch), Folien (französisch), Video der Präsentation (französisch)
• REcon 2017, Montreal, Kanada: Folien, Video

Lizenzen

BinCAT wird unter der GNU Affero General Public License veröffentlicht.

Der BinCAT-OCaml-Code enthält Code aus der ursprünglichen OCaml-Laufzeit, die unter der LGPLv2 veröffentlicht wurde.

Das BinCAT-IDA-Plugin enthält Code von python-pyqt5-hexview von Willi Ballenthin, veröffentlicht unter der Apache License 2.0.

BinCAT enthält eine modifizierte Kopie von newspeak.

Automatisierte Builds

Automatisierte Builds für Linux und Windows werden automatisch mit GitHub Actions durchgeführt (siehe hier), Ergebnisse können auf dem Actions-Tab von GitHub abgerufen werden.