mfthomps/resimReverse-Engineering-Software mit einem vollständigen Systemsimulator
RESim ist ein dynamisches Systemanalysetool, das detaillierte Einblicke in Prozesse, Programme und Datenflüsse innerhalb vernetzter Computer bietet. RESim simuliert Netzwerke von Computern unter Verwendung der hochgenauen Modelle der Simics-Plattform für Prozessoren, Peripheriegeräte (z. B. Netzwerkschnittstellenkarten) und Festplatten. Die vernetzten Computerplattformmodelle laden und führen gezielte Software aus, die aus Abbildern der simulierten physischen Systeme extrahiert wurde.
RESim unterstützt Reverse Engineering und Schwachstellenanalyse von Netzwerken Linux-basierter und Windows-Systeme, indem es Prozesse im Hinblick auf die von ihnen ausgeführten Programme und die von ihnen verbrauchten Daten inventarisiert. Datenquellen umfassen Dateien, Geräteschnittstellen und Mechanismen der Interprozesskommunikation. Die Prozessausführung und der Datenverbrauch werden durch dynamische Analyse eines laufenden simulierten Systems dokumentiert, ohne dass Software im simulierten System installiert oder injiziert werden muss und ohne detaillierte Kenntnisse des Kernels, der die Prozesse hostet.
RESim bietet außerdem interaktive Einblicke in einzelne ausgeführte Programme durch die Verwendung von Plug-ins für die IDA Pro- und Ghidra-Disassembler/Debugger. Der Disassembler/Debugger ermöglicht das Setzen von Haltepunkten, um die Simulation bei ausgewählten Ereignissen entweder in der Zukunft oder in der Vergangenheit anzuhalten[2]. Beispielsweise kann RESim den Simulationsstatus rückwärts bis zur letzten Änderung einer ausgewählten Speicheradresse lenken. Nachladbare Prüfpunkte können zu jedem Zeitpunkt der Systemausführung erstellt werden. Eine RESim-Simulation kann zur Inspektion angehalten werden, z. B. wenn ein bestimmter Prozess zur Ausführung eingeplant ist, und anschließend fortgesetzt werden, möglicherweise mit geändertem Speicher- oder Registerstatus. Der Analyst kann den Speicher- oder Registerinhalt explizit ändern und auch dynamisch Speicher basierend auf Systemereignissen erweitern, z. B. einen Passwortdateieintrag ändern, wenn er vom Programm su gelesen wird.
Die Analyse erfolgt ausschließlich durch Beobachtung des Speicher- und Prozessorzustands des simulierten Zielsystems, ohne dass Shells, Software-Injektion oder Kernel-Symboltabellen erforderlich sind. Die Analyse wird als extern bezeichnet, da die Beobachtungsfunktionen keinen Einfluss auf den Zustand des simulierten Systems haben.
RESim wurde mit dem American Fuzzing Lop (AFL)-Fuzzer integriert. Dieses Fuzzingsystem injiziert gefuzzte Daten direkt in den Anwendungslesepuffer, was die Einrichtung und den Arbeitsablauf des Fuzzings vereinfacht. RESim wiederholt und analysiert automatisch erkannte Abstürze und identifiziert die Ursachen der Abstürze, z. B. die Beschädigung der Ausführungskontrolle.
Weitere Informationen finden Sie im RESim-Benutzerhandbuch. Eine kurze Demonstration von RESim finden Sie hier: (https://nps.box.com/s/rf3n104ualg38pon6b7fm6m6wqk9zz50)
Beispiel-Festplattenabbilder werden in dieser Readme beschrieben.
RESim ist von einer Software-Prüf- und Forensikanalyse-Plattform abgeleitet, die für die DARPA Cyber Grand Challenge entwickelt wurde. Dieses Repository befindet sich hier: https://github.com/mfthomps/cgc-monitor. Ein Artikel, der diese Arbeit beschreibt, ist unter https://www.sciencedirect.com/science/article/pii/S1742287618301920 zu finden. Und eine gute Zusammenfassung der Verwendung von Simics im CGC Monitor ist unter https://software.intel.com/content/www/us/en/develop/blogs/simics-software-automates-cyber-grand-challenge-validation.html verfügbar.
[1]Simics ist ein von Intel entwickelter Vollsystem-Simulator, der alle relevanten Markenrechte besitzt. [2]Simics 7 hat die "Rückwärtsausführung" als veraltet eingestuft, aber RESim fügt sie wieder hinzu.
This software was created by United States Government employees
and may not be copyrighted.
Redistribution and use in source and binary forms, with or without
modification, are permitted provided that the following conditions
are met:
1. Redistributions of source code must retain the above copyright
notice, this list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright
notice, this list of conditions and the following disclaimer in the
documentation and/or other materials provided with the distribution.
THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
DISCLAIMED. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT,
INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN
ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGE.