Un autre analyseur de binaires Golang pour IDAPro

Anglais | 中文

NOTE :

Maintenant, la branche master la plus récente est la version Python3. L'ancienne branche master a été renommée en branche py2, et n'est temporairement plus maintenue.

Instructions pour la branche Python3

Cette version est développée et testée sur macOS/Windows, IDA7.4+ et Python3.8.x. Si vous rencontrez des problèmes sur d'autres plateformes et versions, vous êtes invités à soumettre un problème ou une Pull Request.

De plus, il convient de noter que IDA7.4 sur macOS utilise Python3 installé par défaut, ce qui peut entraîner l'échec du chargement des bibliothèques tierces que vous avez installées. Vous devez basculer vers Python installé par brew. Veuillez vous référer à ce script pour les méthodes de basculement spécifiques.

Inspiré par golang_loader_assist et jeb-golang-analyzer, j'ai écrit un outil d'analyse de binaires Go plus complet pour IDAPro.

Principales fonctionnalités :

Localiser et analyser la structure firstmoduledata dans le fichier binaire Go, et ajouter un commentaire pour chaque champ ;
Localiser pclntab (table de lignes PC) en fonction de firstmoduledata et l'analyser. Ensuite, trouver, analyser et récupérer les noms de fonctions et les chemins de fichiers sources dans le pclntab. Les chemins de fichiers sources seront affichés dans la fenêtre de sortie d'IDAPro ;
Analyser les chaînes et les pointeurs de chaînes, ajouter un commentaire pour chaque chaîne, et créer un dref pour chaque pointeur de chaîne ;
Selon firstmoduledata, trouver chaque type et l'analyser, ajouter un commentaire pour chaque attribut du type, ce qui sera très pratique pour les chercheurs en malwares pour analyser un type complexe ou une définition de structure de données ;
Analyser itab (table d'interface).

Informations utiles pour le travail de rétro-ingénierie sur les binaires Go :

Et il y a deux fonctionnalités utiles dans go_parser :

Il fonctionne également bien pour les binaires avec des informations d'en-tête de fichier malformées, en particulier des informations d'en-tête de section malformées ;
Toutes ces fonctionnalités ci-dessus sont valables pour les binaires construits avec buildmode=pie.

Un résultat d'analyse d'une structure de données de configuration dans DDGMiner v5029 (MD5: 95199e8f1ab987cd8179a60834644663) comme ci-dessous :

Et la liste des chemins de fichiers sources définis par l'utilisateur :

Fichiers du projet :

go_parser.py : Fichier d'entrée, appuyez sur [Alt+F7] , sélectionnez et exécutez ce fichier ;
common.py: Définition des variables et fonctions communes ;
pclntbl.py: Analyse de pclntab (table de lignes PC) ;
strings.py: Analyse des chaînes et des pointeurs de chaînes ;
moduldata.py: Analyse de firstmoduledata ;
types_builder.py: Analyse des types ;
itab.py: Analyse de itab (table d'interface) ;

De plus, str_ptr.py analysera les pointeurs de chaînes en spécifiant manuellement l'adresse de début et l'adresse de fin des pointeurs de chaînes.

Remarque

Cet outil est écrit en Python3 et testé sur IDA7.4+ ;
Le module d'analyse des chaînes a été migré depuis golang_loader_assist, et j'ai ajouté la fonctionnalité d'analyse des pointeurs de chaînes. Il ne prend en charge que l'architecture x86 (32 bits et 64 bits) pour l'instant.

go_parser

Populaires

Un autre analyseur de binaires Golang pour IDAPro

Instructions pour la branche Python3

Principales fonctionnalités :

Fichiers du projet :

Remarque

Références