Cualquier comentario es muy apreciado: @_qaz_qaz

¿Cómo genera idenLib.exe firmas?

1. Analiza el archivo de entrada (archivo .lib/.obj) para obtener una lista de direcciones y nombres de funciones.
2. Obtiene el último opcode de cada instrucción

3. Comprime la firma con zstd
4. Guarda la firma en el directorio SymEx. Si el nombre del archivo de entrada es zlib.lib, la salida será zlib.lib.sig o zlib.lib.sig64. Si zlib.lib.sig(64) ya existe en el directorio SymEx de una ejecución anterior o de una versión anterior de la biblioteca, la siguiente ejecución añadirá firmas diferentes. Si ejecuta idenLib.exe varias veces con diferentes versiones del archivo .lib, el archivo .sig/sig64 incluirá todas las firmas de funciones únicas.

Dentro de una firma (está comprimida):

Uso:

• Generar firmas de bibliotecas: idenLib.exe /path/to/file o idenLib.exe /path/to/directory
• Generar firma de función main: idenLib.exe /path/to/pe -getmain

Generando firmas de bibliotecas

Uso del plugin de x32dbg/x64dbg, IDA Pro:

1. Copie el directorio SymEx en el directorio principal de x32dbg/x64dbg/IDA Pro
2. Aplicar firmas:

x32dbg/x64dbg:

IDA Pro:

Generando firma de la función main:

Si desea generar una firma para la función main compilada con MSVC 14, necesita crear una aplicación hello world con el compilador correspondiente y usar la aplicación como entrada para idenLib

Los archivos de firma de la función main son EntryPointSignatures.sig y EntryPointSignatures.sig64

Notas sobre las firmas de la función main

• idenLib utiliza las DIA APIs para explorar la información de depuración almacenada en un archivo PDB. Para ejecutar idenLib con el parámetro -getmain, deberá asegurarse de que msdia140.dll (ubicada en Microsoft Visual Studio\2017\Community\DIA SDK\bin) esté registrada como un componente COM, invocando regsvr32.exe en la DLL.

Aplicando firmas

Hay dos formas de aplicar firmas: coincidencia exacta y usando el índice de Jaccard

Enlaces útiles:

• Información detallada sobre Bibliotecas en tiempo de ejecución de C (CRT)

Terceros

• Zydis (MIT License)

• Zstandard (BSD License)

• Icono por freepik