El plugin para el descompilador Hex-Rays que facilita la navegación del código en el proceso de RE. CodeXplorer automatiza la REconstrucción de código de aplicaciones C++ o malware moderno como Stuxnet, Flame, Equation, Animal Farm ... :octocat:

El plugin CodeXplorer es uno de los primeros disponibles públicamente para el descompilador Hex-Rays. Mantenemos este proyecto actualizado desde el verano de 2013 y continuamos añadiendo nuevas funcionalidades con frecuencia. Además, las características más interesantes de CodeXplorer se han presentado en numerosas conferencias de seguridad como: REcon, ZeroNights, H2HC, NSEC y BHUS 👾

Contribuidores:

Alex Matrosov (@matrosov)

Eugene Rodionov (@rodionov)

Rodrigo Branco (@rrbranco)

Gabriel Barbosa (@gabrielnb)

Versiones compatibles de productos Hex-Rays: siempre nos enfocamos en las últimas versiones de IDA y el Descompilador porque intentamos usar nuevas funcionalidades interesantes en los nuevos lanzamientos del SDK. Esto también significa que hemos probado solo en las últimas versiones de productos Hex-Rays y no garantizamos un funcionamiento estable en versiones anteriores.

¿Por qué no IdaPython?: todo el código está desarrollado en C/C++ porque es una forma más estable de soportar un plugin complejo para el Descompilador Hex-Rays.

Plataformas compatibles: x86/x64 para Win, Linux y Mac.

HexRaysCodeXplorer – Plugin para el Descompilador Hex-Rays para una navegación más sencilla del código. El menú contextual (clic derecho) en la ventana de Pseudocódigo muestra los comandos del plugin CodeXplorer:

💎 Estas son las principales características del plugin CodeXplorer: 💎

• REconstrucción automática de tipos para objetos C++. Para poder reconstruir un tipo usando HexRaysCodeXplorer, se debe seleccionar la variable que contiene el puntero a la instancia del código independiente de posición o a un objeto y, con clic derecho, seleccionar la opción «REconstruct Type» del menú contextual:

La estructura reconstruida se muestra en la "Ventana de salida". Información detallada sobre la funcionalidad de reconstrucción de tipos se proporciona en la entrada del blog “Type REconstruction in HexRaysCodeXplorer”.

También el plugin CodeXplorer soporta la auto REconstrucción de tipos en el almacenamiento de tipos locales de IDA.

• Identificación de tablas de funciones virtuales – identifica automáticamente referencias a tablas de funciones virtuales durante la reconstrucción de tipos. Cuando se identifica una referencia a una tabla de funciones virtuales, el plugin genera la estructura C correspondiente. Como se muestra a continuación, al reconstruir struct_local_data_storage, se identificaron dos tablas de funciones virtuales y, como resultado, se generaron dos estructuras correspondientes: struct_local_data_storage_VTABLE_0 y struct_local_data_storage_VTABLE_4.

• Visualización del grafo C-tree – una estructura especial en forma de árbol que representa una rutina descompilada en términos de citem_t (hexrays.hpp). Funcionalidad útil para entender cómo funciona el descompilador. El nodo del grafo resaltado corresponde a la posición actual del cursor en la ventana de Pseudocódigo de HexRays:

• Vista de elementos Ctree – muestra la representación ctree para el elemento resaltado:

• Extraer Ctree a archivo – volcar el hash SHA1 calculado y todos los ctree en un archivo.

• Extraer tipos a archivo – volcar toda la información de tipos (incluyendo los tipos reconstruidos) en un archivo.

• Navegación a través de llamadas a funciones virtuales en la ventana de Pseudocódigo de HexRays. Después de representar objetos C++ con estructuras C, esta funcionalidad permite la navegación haciendo clic en las llamadas a funciones virtuales como campos de una estructura:

• Saltar a Disasm – pequeña funcionalidad para navegar al código ensamblador en la ventana "IDA View" desde la posición actual de la línea de pseudocódigo. Ayuda a encontrar el lugar en el código ensamblador asociado con la línea descompilada.

• Explorador de objetos – interfaz útil para navegar por las estructuras de tablas virtuales (VTBL). El Explorador de objetos muestra la información VTBL en una ventana personalizada de IDA. La ventana de salida se muestra al elegir la opción «Object Explorer» en el menú contextual del botón derecho del ratón:

El Explorador de objetos admite las siguientes características:

• Generación automática de estructuras para VTBL en los tipos locales de IDA

• Navegación en la lista de tablas virtuales y salto a la dirección VTBL en la ventana "IDA View" al hacer clic

• Muestra sugerencias para la posición actual en la lista de tablas virtuales

• Muestra la lista de referencias cruzadas al hacer clic en el menú "Show XREFS to VTBL"

• Soporte para el análisis automático de objetos RTTI:

El modo Batch contiene las siguientes características:

• Modo Batch – funcionalidad útil para usar CodeXplorer al procesar múltiples archivos sin interacción del usuario. Agregamos esta característica después de la investigación de Black Hat en 2015 para procesar 2 millones de muestras.

Compilación:

Windows:

• Abra la solución en Visual Studio
• Abra el archivo src/HexRaysCodeXplorer/PropertySheet.props en el bloc de notas(++) y actualice los valores de las rutas IDADIR e IDASDK para que apunten a la ruta de instalación de IDA y a la ruta del SDK de IDA7 respectivamente. El SDK de HexRays debe estar en $IDADIR\plugins\hexrays_sdk (como por defecto).
• Compile las configuraciones Release | x64 y Release x64 | x64

Linux:

• cd src/HexRaysCodeXplorer/
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> EA64=0 make -f makefile.lnx
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> EA64=0 make -f makefile.lnx install

Mac:

• cd src/HexRaysCodeXplorer/
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> make -f makefile.mac
• El makefile de Mac puede necesitar algunas ediciones manuales, ¡los pull requests son bienvenidos!
• La extensión de archivo .pmc para IDA 7.0 debe ser .dylib
• bash$ export IDA_DIR="/Applications/IDA\ Pro\ 7.0/ida.app/Contents/MacOS" && export IDA_SDK="/Applications/IDA\ Pro\ 7.0/ida.app/Contents/MacOS/idasdk" && make -f makefile7.mac
• O abra el proyecto en Xcode HexRaysCodeXplorer.xcodeproj

Con CMake:

• cd src/HexRaysCodeXplorer/
• mkdir build && cd build
• cmake .. -DIdaSdk_ROOT_DIR=<PATH_TO_IDA_SDK> -DHexRaysSdk_ROOT_DIR=<PATH_TO_HEXRAYS_SDK>
• cmake --build . --config Release

============================================================================

Charlas en conferencias sobre el plugin CodeXplorer:

• 2015
• "Distributing the REconstruction of High-Level IR for Large Scale Malware Analysis", BHUS [slides]
• "Object Oriented Code RE with HexraysCodeXplorer", NSEC [slides]
• 2014
• "HexRaysCodeXplorer: object oriented RE for fun and profit", H2HC [slides]
• 2013
• "HexRaysCodeXplorer: make object-oriented RE easier", ZeroNights [slides]
• "Reconstructing Gapz: Position-Independent Code Analysis Problem", REcon [slides]