CERT Kaiju es una extensión de marco de análisis binario para el conjunto de herramientas de ingeniería inversa de software Ghidra. Este repositorio es un "espejo" -- por favor, presente tickets, informes de errores o solicitudes de extracción en el repositorio upstream en @CERTCC: https://github.com/certcc/kaiju
CERT Kaiju es una colección de herramientas de análisis binario para Ghidra.
Se trata de una implementación en Ghidra/Java de algunas características de [CERT Pharos Binary Analysis Framework][pharos], particularmente las herramientas de hashing de funciones y análisis de malware, pero se espera que crezca con nuevas herramientas y capacidades con el tiempo.
Como este es un esfuerzo nuevo, esta implementación aún no tiene una paridad completa de funcionalidades con la implementación original en C++ basada en ROSE; sin embargo, el cambio a Java y Ghidra ha permitido algunas nuevas funcionalidades no disponibles en el marco original — notablemente, un mejor manejo de arquitecturas que no son x86. Dado que se está realizando un rediseño significativo del marco y las herramientas, y que el cambio a Java y Ghidra permite capacidades diferentes a las de la implementación en C++, se tomó la decisión de utilizar una nueva marca para reducir la confusión entre implementaciones al discutir las diferentes herramientas y capacidades.
Nuestra intención para el futuro cercano es mantener tanto el marco original de Pharos como Kaiju, lado a lado, ya que ambos pueden proporcionar funcionalidades y capacidades únicas.
ADVERTENCIA: Al ser un prototipo, pueden surgir muchos problemas al evaluar los hashes de funciones creados por este plugin. Por ejemplo, a diferencia de la implementación de Pharos, el módulo de hashing de funciones de Kaiju creará hashes para funciones muy pequeñas (por ejemplo, aquellas con una sola instrucción como RET, lo que provoca muchas más colisiones no intencionadas). Como resultado, los resultados analíticos pueden variar entre este plugin y Pharos fn2hash.
[Paquetes precompilados de Kaiju][prebuilts] están disponibles. Simplemente descargue el archivo ZIP correspondiente a su versión de Ghidra e instálelo según las instrucciones a continuación. Se recomienda instalarlo a través de la interfaz gráfica de Ghidra, pero también es posible descomprimirlo manualmente en el directorio adecuado para instalarlo.
CERT Kaiju requiere las siguientes dependencias en tiempo de ejecución:
Z3 se proporciona precompilado como parte de los paquetes precompilados, o puede compilar Z3 por su cuenta o usar el paquete de su distribución Linux.
Inicie Ghidra, y desde la ventana de apertura, seleccione en el menú:
File > Install Extension. Haga clic en el signo más en la parte superior de la
ventana de extensiones, navegue y seleccione el archivo .zip en el explorador
de archivos y presione OK. La extensión se instalará y aparecerá una casilla
marcada junto al nombre de la extensión en la ventana para indicar que está
instalada y lista.
La interfaz le pedirá que reinicie Ghidra para comenzar a usar la extensión. Simplemente reinicie, y las funciones adicionales de Kaiju estarán disponibles para uso interactivo o en scripts.
Alguna funcionalidad puede requerir habilitar los plugins de Kaiju. Para ello,
abra el Code Browser y luego navegue al menú File > Configure.
En la ventana que aparece, haga clic en el enlace Configure debajo del
icono de la categoría "CERT Kaiju". Aparecerá una ventana emergente con todos
los plugins de Kaiju disponibles públicamente. Marque cualquier plugin
que desee activar y luego presione OK. Ahora tendrá acceso a las
funcionalidades interactivas de los plugins.
Si un plugin no es visible inmediatamente después de habilitarlo, puede
encontrarlo en el menú Window del Code Browser.
Versiones "alpha" experimentales de herramientas futuras pueden estar disponibles en la categoría "Experimental" si desea probarlas. Sin embargo, estos plugins son definitivamente experimentales, no tienen soporte y no se recomiendan para uso en producción. ¡Agradecemos sus comentarios tempranos!
Las extensiones de Ghidra como Kaiju también pueden instalarse manualmente descomprimiendo el contenido de la extensión en el directorio adecuado de su instalación de Ghidra. Para más información, consulte The Ghidra Installation Guide.
También puede compilar la extensión Kaiju directamente desde el código fuente.
Consulte el archivo INSTALL.md incluido en el directorio raíz del código fuente de Kaiju.
Las herramientas de Kaiju pueden usarse de manera gráfica interactiva, o mediante un modo "headless" más adecuado para trabajos por lotes. Algunas herramientas pueden estar disponibles solo para uso gráfico o headless, según la naturaleza de la herramienta.
Kaiju crea una interfaz gráfica interactiva (GUI) dentro de Ghidra utilizando Java Swing y la arquitectura de plugins de Ghidra.
La mayoría de las herramientas de Kaiju son en realidad plugins de Análisis
que se ejecutan automáticamente cuando se selecciona la opción "Auto Analysis",
ya sea al importar un nuevo ejecutable para desensamblar, o eligiendo directamente
Analysis > Auto Analyze... desde la ventana del code browser. Verá
varios plugins de análisis de CERT seleccionados por defecto en la herramienta
Auto Analyze, pero puede habilitar/deshabilitar según lo desee.
Sin embargo, las herramientas de Análisis deben ejecutarse antes de que funcionen las diversas herramientas GUI. En algunos casos excepcionales, puede ser útil ejecutar el Auto Analysis dos veces para asegurar que se produzcan todos los metadatos necesarios para crear una partición y desensamblado correctos, lo que a su vez puede influir en los resultados de hashing.
Los analizadores se ejecutan automáticamente durante la fase de análisis de Ghidra e incluyen:
