bincat

Introduction

Qu'est-ce que BinCAT ?

BinCAT est une boîte à outils d'analyse statique de code binaire, conçue pour aider les ingénieurs en rétro-ingénierie, directement depuis IDA ou via Python pour l'automatisation.

Il propose :

• analyse de valeur (registres et mémoire)
• analyse de contamination (taint)
• reconstruction et propagation de types
• analyse arrière et avant
• détection d'utilisation après libération et double libération

En action

Vous pouvez voir (une version antérieure de) BinCAT en action ici :

• Analyse de base
• Utilisation du marquage de données

Consultez le tutoriel pour découvrir les tâches correspondantes.

FAQ rapide

Plateformes hôtes supportées :

• Plugin IDA : toutes, version 7.4 ou ultérieure (seul Python 3 est supporté)
• Analyseur (local ou distant) : Linux, Windows, macOS (peut-être)

CPU supportés pour l'analyse (pour l'instant) :

• x86-32
• x86-64
• ARMv7
• ARMv8
• PowerPC

Installation

Seule IDA v7.4 ou ultérieure est supportée

Les versions plus anciennes peuvent fonctionner, mais nous ne les supportons pas.

Installation par distribution binaire (recommandée)

La distribution binaire inclut tout le nécessaire :

• l'analyseur
• le plugin IDA

Étapes d'installation :

• Extrayez la distribution binaire de BinCAT (pas le dépôt git)
• Dans IDA, cliquez sur le menu "File -> Script File..." (ou tapez ALT-F7)
• Sélectionnez install_plugin.py
• BinCAT est maintenant installé dans votre répertoire utilisateur IDA
• Redémarrez IDA

Installation manuelle

Analyseur

L'analyseur peut être utilisé localement ou via un service Web.

Sur Linux :

• Avec Docker : Instructions d'installation Docker
• Manuel : Instructions de construction et d'installation

Sur Windows :

• Instructions de construction

Plugin IDA

• Installation manuelle sous Windows.
• Installation manuelle sous Linux

BinCAT devrait fonctionner avec IDA sous Wine, une fois pip installé :

• Téléchargez https://bootstrap.pypa.io/get-pip.py (vérifiez qu'il est correct ;)
• ~/.wine/drive_c/Python/python.exe get-pip.py

Utiliser BinCAT

Démarrage rapide

• Chargez le plugin en utilisant le raccourci Ctrl-Shift-B, ou via le menu Edit -> Plugins -> BinCAT

• Allez à l'instruction où vous voulez démarrer l'analyse

• Sélectionnez le volet BinCAT Configuration, cliquez sur <-- Current pour définir l'adresse de départ

• Lancez l'analyse

Configuration

Les options globales peuvent être configurées via le menu Edit/BinCAT/Options.

La configuration et les options par défaut sont stockées dans $IDAUSR/idabincat/conf.

Options

• "Use remote bincat" : sélectionnez si vous exécutez l'analyseur dans un conteneur Docker
• "Remote URL" : http://localhost:5000 (ou l'URL d'un serveur BinCAT distant)
• "Autostart" : charger automatiquement BinCAT au démarrage d'IDA
• "Save to IDB" : état par défaut de la case à cocher save to idb

Documentation

Un manuel est fourni et consultez ici pour une description du format du fichier de configuration.

Un tutoriel est fourni pour vous aider à essayer les fonctionnalités de BinCAT.

Articles et présentations sur BinCAT

• SSTIC 2017, Rennes, France : article (anglais), diapositives (français), vidéo de la présentation (français)
• REcon 2017, Montréal, Canada : diapositives, vidéo

Licences

BinCAT est publié sous GNU Affero General Public Licence.

Le code OCaml de BinCAT inclut du code du runtime Ocaml original, publié sous LGPLv2.

Le plugin IDA de BinCAT inclut du code de python-pyqt5-hexview par Willi Ballenthin, publié sous la licence Apache 2.0.

BinCAT inclut une copie modifiée de newspeak.

Constructions automatisées

Les constructions automatisées pour Linux et Windows sont effectuées automatiquement à l'aide de GitHub Actions (voir ici), les résultats peuvent être obtenus sur l'onglet Actions de GitHub.