LCSAJdump es un marco de análisis estático diseñado para descubrir gadgets de Return-Oriented Programming (ROP) y Jump-Oriented Programming (JOP). A diferencia de los escáneres tradicionales, LCSAJdump es agnóstico respecto a la arquitectura y emplea un enfoque basado en grafos para descubrir vulnerabilidades invisibles para las herramientas lineales comunes.

¿Por qué LCSAJdump?

Los escáneres ROP comunes utilizan un enfoque lineal de "ventana deslizante" sobre los bytes ejecutables del binario. Este método falla sistemáticamente al identificar Shadow Gadgets: cadenas de ejecución que atraviesan bloques de memoria no contiguos conectados por saltos incondicionales o bifurcaciones condicionales.

LCSAJdump supera esta limitación reconstruyendo el Grafo de Flujo de Control (CFG) mediante el análisis LCSAJ (Secuencia Lineal de Código y Salto). Al modelar el binario como un grafo dirigido de bloques básicos, la herramienta identifica:

1. Gadgets contiguos: Secuencias lineales estándar que terminan en una transferencia de flujo de control.
2. Shadow Gadgets (no contiguos): Cadenas complejas que evitan los "bytes malos" (ej. bytes nulos) utilizando instrucciones que de otro modo serían inalcanzables mediante el escaneo lineal.

Características principales

• Soporte multiarquitectura: Soporte nativo para RISC-V (64GC), x86-64 y ARM64, fácilmente extensible a otras arquitecturas mediante perfiles modulares.
• Análisis basado en grafos: Segmenta la sección .text en bloques básicos LCSAJ y reconstruye las relaciones de flujo mediante un grafo de flujo de control inverso construido a medida (representación ligera de adyacencia, sin dependencia de grafos pesados).
• Algoritmo Rainbow BFS: Búsqueda en anchura inversa propietaria que parte de los sumideros de flujo de control. Ahora cuenta con un filtro de unicidad temprana O(1) y límites de instrucciones con tope duro para evitar la explosión de estados y garantizar un análisis ultrarrápido incluso en binarios CISC densos.
• Construcción perezosa del grafo: La construcción del grafo retiene solo los nodos alcanzables desde las colas de los gadgets dentro de --depth saltos, reduciendo drásticamente la memoria y el tiempo de construcción en binarios grandes (ej. libc) mientras produce resultados idénticos.
• Motor de clasificación en dos etapas: Combina una línea base heurística ultra rápida (optimizada mediante Bayes con Optuna) con un modelo ML LightGBM de aprendizaje profundo que refina la calidad del gadget utilizando características estructurales y semánticas.
• Inferencia sin sobrecarga: El modelo ML está integrado de forma nativa y se ejecuta por defecto, procesando decenas de miles de nodos en segundos. Actúa como un filtro altamente efectivo, rechazando saltos ruidosos y devolviendo cadenas de gadgets limpias y altamente controlables. Alojado en Hugging Face.
• Parámetros de poda: Factor de "Oscuridad" configurable para equilibrar la profundidad del análisis y el rendimiento, evitando bucles infinitos en grafos cíclicos.

Arquitecturas compatibles

(ver Puntos de referencia).

LCSAJdump está diseñado para ser universal. Actualmente compatibles:

• RISC-V de 64 bits (RV64GC): Soporte completo para instrucciones comprimidas de 16 bits.
• x86-64: Maneja instrucciones superpuestas de longitud variable. Navega de forma segura por grafos densos sin explosión de memoria.
• ARM64: Maneja instrucciones de 32 bits y filtra profundamente los gadgets inflados mediante penalizaciones heurísticas estrictas.
• Otras arquitecturas: Se pueden implementar fácilmente definiendo nuevos perfiles en config.py.

Instalación

Mediante Pip (Recomendado)

Desde el código fuente (Desarrollo)

Uso

LCSAJdump ofrece una potente CLI para un análisis preciso de binarios:

Análisis estándar (RISC-V por defecto):

Análisis avanzado (especificando arquitectura y archivo de salida):

Exportar como JSON con filtro de caracteres malos:

Nota: Use -o después de --json para guardar JSON en un archivo. Sin --json, -o guarda texto plano.

Guardar salida en texto plano:

Analizar todas las secciones ejecutables:

Forzar clasificación estrictamente algorítmica (omitir ML):

Opciones de la CLI

Precisión y puntos de referencia

LCSAJdump está respaldado por un conjunto de pruebas riguroso e incrementablemente validado ubicado en el directorio benchmarkTests/.

A través de 14 iteraciones principales de ingeniería de características semánticas, el modelo híbrido ha aprendido a discriminar gadgets basándose en efectos secundarios reales de la memoria (extraídos mediante ejecución simbólica angr) en lugar de heurísticas puramente sintácticas.

Evaluado con validación cruzada de 5 pliegues consciente de grupos (los binarios de prueba nunca se vieron durante el entrenamiento), el clasificador alcanza NDCG@1 = 0.914 ± 0.047 y NDCG@10 = 0.922 ± 0.052, lo que significa que los gadgets más útiles se colocan consistentemente en la parte superior de la salida. El motor de dos etapas prioriza con éxito las secuencias limpias de extracción de pila y las llamadas tipo ret2csu, mientras penaliza fuertemente los saltos de desplazamiento fijo propensos a fallos que engañan a los escáneres estáticos tradicionales.

Guía para desarrolladores y de aprendizaje automático

El repositorio está estructurado para apoyar tanto a usuarios finales como a investigadores de ML.

• Motor de producción: La CLI principal integra sin problemas el motor de inferencia utilizando modelos alojados en Hugging Face, sin necesidad de carga manual del modelo.
• Pipeline de ML: El directorio lcsajdump/ml_study/ contiene el pipeline completo utilizado para entrenar los modelos:
  • build_dataset.py: Extrae características estructurales y semánticas de un corpus de binarios CTF.
  • train_model.py: Entrena el modelo LightGBM LambdaRank y genera los modelos .pkl.
  • kfold_cv.py: Valida el conjunto de datos mediante validación cruzada K-Fold.

Cómo contribuir (¡Abierto para bifurcaciones!)

El marco está abierto a nuevas implementaciones. Para agregar una nueva arquitectura:

1. Bifurca el repositorio.
2. Abre lcsajdump/core/config.py.
3. Agrega un nuevo perfil al diccionario ARCH_PROFILES, definiendo mnemónicos de salto, mnemónicos de retorno y registros para la arquitectura deseada (ej. x86_64).
4. Envía un Pull Request.

Licencia

Este proyecto se publica bajo la licencia MIT. Consulta el archivo LICENSE para más detalles.

Enlace del proyecto

Visita la página web del proyecto: Página web de LCSAJdump