Descripción general

idahunt es un framework para analizar binarios con IDA Pro y buscar cosas en IDA Pro. Es una herramienta de línea de comandos para analizar todos los archivos ejecutables de forma recursiva desde una carpeta determinada. Ejecuta IDA en segundo plano para que no tengas que abrir cada archivo manualmente. Admite la ejecución de scripts externos de IDA Python.

Requisitos

Solo Python3 (excepto los scripts de IDA Python, que pueden ser Python2/Python3 dependiendo de tu configuración de IDA)
IDA Pro
Windows, Linux, OS X

Características

Especificar cuántas instancias de IDA quieres ejecutar simultáneamente
Automatizar la creación de IDBs para múltiples ejecutables
Ejecutar scripts de IDA Python en múltiples ejecutables
Abrir múltiples IDBs existentes
Soporta cualquier formato binario (ensamblador sin procesar/PE/ELF/MACH-O/etc.) soportado por IDA
(Opcional) Incluye ayudantes de IDA Python. Puedes usarlos para crear fácilmente tus propios scripts de IDA Python o puedes usar cualquier otra librería de IDA Python como sark o bip por mencionar algunas

Ejemplos útiles incluyen (lista no exhaustiva):

Analizar actualizaciones de Microsoft Patch Tuesday
Analizar malware de la misma familia
Analizar múltiples versiones del mismo software
Analizar un lote de binarios (UEFI, HP iLO, router Cisco IOS, firewall Cisco ASA, etc.)

Scripting

Las capacidades de los scripts de IDA Python son ilimitadas. Puedes importar cualquier script de IDA Python existente o crear los tuyos propios. Algunos ejemplos:

Renombrar funciones basándose en cadenas de depuración
Descifrar cadenas (p. ej., malware)
Buscar el mismo símbolo en múltiples versiones (usando heurísticas)
Buscar gadgets ROP
Transferir nombres de funciones / símbolos obtenidos mediante ingeniería inversa de una versión a otra usando herramientas como diaphora
Etc.

Uso

idahunt.py: herramienta principal para analizar archivos ejecutables
filters/: contiene filtros básicos para decidir qué archivos de un directorio de entrada analizar con IDA
- filters/default.py: filtro básico predeterminado que no filtra nada y se usa por defecto
- filters/ciscoasa.py: útil para analizar imágenes de firewall Cisco ASA
- filters/hpilo.py: útil para analizar imágenes de HP iLO
- filters/names.py: filtro básico basado en el nombre, la longitud del nombre o la extensión
script_template.py: contiene un script de IDA Python hello world

C:\idahunt> C:\Python37-x64\python.exe .\idahunt.py -h
usage: idahunt.py [-h] [--inputdir INPUTDIR] [--analyse] [--open]
                  [--ida-args IDA_ARGS] [--scripts SCRIPTS [SCRIPTS ...]]
                  [--filter FILTER] [--cleanup] [--temp-cleanup] [--verbose]
                  [--max-ida MAX_IDA] [--list-only] [--version IDA_VERSION]

optional arguments:
  -h, --help            show this help message and exit
  --inputdir INPUTDIR   Input folder to search for files
  --analyse, --analyze  analyse all files i.e. create .idb for all of them
  --open                open all files into IDA (debug only)
  --ida-args IDA_ARGS   Additional arguments to pass to IDA (e.g.
                        -p<processor> -i<entry_point> -b<load_addr>)
  --scripts SCRIPTS [SCRIPTS ...]
                        List of IDA Python scripts to execute in this order
  --filter FILTER       External python script with optional arguments
                        defining a filter for the names of the files to
                        analyse. See filters/names.py for example
  --cleanup             Cleanup i.e. remove .asm files that we don't need
  --temp-cleanup        Cleanup temporary database files i.e. remove .id0,
                        .id1, .id2, .nam, .dmp files if IDA Pro crashed and
                        did not delete them
  --verbose             be more verbose to debug script
  --max-ida MAX_IDA     Maximum number of instances of IDA to run at a time
                        (default: 10)
  --list-only           List only what files would be handled without
                        executing IDA
  --version IDA_VERSION
                        Override IDA version (e.g. "7.5"). This is used to
                        find the path of IDA on Windows.

Simular sin ejecutar

Puedes usar --list-only con cualquier línea de comandos para simplemente listar lo que la herramienta haría sin llegar a hacerlo.

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v" --list-only
[idahunt] Simulating only...
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe

Análisis inicial

Aquí iniciamos un análisis inicial. Termina después de unos segundos:

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v"
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Aquí eliminamos los archivos .asm temporales creados por el análisis inicial:

C:\idahunt>idahunt.py --inputdir C:\re --cleanup
[idahunt] Deleting C:\re\cves\cve-2014-4076.asm
[idahunt] Deleting C:\re\DownloadExecute.asm
[idahunt] Deleting C:\re\ReverseShell.asm

Podemos ver el .idb generado, así como algunos archivos .log que contienen la ventana de salida de IDA Pro.

C:\idahunt>tree /f C:\re
Folder PATH listing
Volume serial number is XXXX-XXXX
C:\RE
│   DownloadExecute.exe
│   DownloadExecute.idb
│   DownloadExecute.log
│   ReverseShell.exe
│   ReverseShell.idb
│   ReverseShell.log
│
└───cves
        cve-2014-4076.dll
        cve-2014-4076.exe
        cve-2014-4076.idb
        cve-2014-4076.log

Ejecutar script de IDA Python

Aquí ejecutamos un script básico de IDA Python que imprime [script_template] I execute in IDA, yay! en la ventana de salida de IDA Pro.

C:\idahunt>idahunt.py --inputdir C:\re --filter "filters\names.py -a 32 -v" --scripts C:\idahunt\script_template.py
[idahunt] EXECUTE SCRIPTS
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.dll
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\DownloadExecute.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Como queda guardado en el archivo .log, podemos comprobar que se ejecutó correctamente:

idahunt

Más Populares