cmu-sei/pharosOutils d'analyse statique automatisée pour programmes binaires
Le framework d'analyse statique de binaires Pharos est un projet du Software Engineering Institute de l'Université Carnegie Mellon. Le framework est conçu pour faciliter l'analyse automatisée des programmes binaires. Il utilise l'infrastructure de compilateur ROSE développée par Lawrence Livermore National Laboratory pour le désassemblage, l'analyse de flux de contrôle, la sémantique des instructions, et plus encore. Ce logiciel est publié sous une licence BSD.
La distribution actuelle est une mise à jour substantielle de la version précédente, et ajoute diverses fonctionnalités notamment des améliorations de l'outil OOAnalyzer, du code expérimental d'analyse de chemin, des améliorations du partitionneur, du multithreading, et de nombreuses autres fonctionnalités mineures.
Le framework Pharos est un projet de recherche, et le code est en cours de développement actif. Aucune garantie d'adéquation à un usage particulier n'est fournie. Bien que cette version fournisse des instructions de construction, des tests unitaires et une certaine documentation, il reste beaucoup de travail à faire. Nous avons testé quelques configurations de construction sélectionnées, mais nous n'avons pas activement testé la portabilité du code source. Voir les instructions d'installation pour plus de détails.
Étant donné que l'objectif principal de la publication de ce code est de fournir de la transparence dans nos recherches et de stimuler la conversation avec d'autres chercheurs en analyse statique de binaires, n'hésitez pas à contacter Cory Cohen [email protected] avec vos questions sur ce travail. Il se peut que je ne puisse pas répondre en temps utile, mais je ferai de mon mieux.
ApiAnalyzer est un outil pour trouver des séquences d'appels API avec les relations de données et de contrôle spécifiées. Cette capacité est destinée à être utilisée pour détecter des paradigmes courants d'interaction avec le système d'exploitation, comme l'ouverture d'un fichier, l'écriture dedans et sa fermeture.
OOAnalyzer est un outil pour l'analyse et la récupération de constructions orientées objet. Cet outil a fait l'objet d'un article intitulé « Using Logic Programming to Recover C++ Classes and Methods from Compiled Executables » qui a été publié à l'ACM Conference on Computer and Communications Security en 2018. L'outil identifie les membres et méthodes d'objets en suivant les pointeurs d'objets entre les fonctions du programme. Une implémentation précédente de cet outil s'appelait « Objdigger », mais elle a été renommée pour refléter une refonte substantielle utilisant des règles Prolog pour récupérer les attributs des objets. La version actuelle de l'outil ne prend en charge que l'analyse des exécutables x86 32 bits compilés par Microsoft Visual C++. Pour des instructions plus détaillées sur la façon d'exécuter OOAnalyzer sur de très gros exécutables, voir ces notes.
La distribution Pharos incluait auparavant un plugin qui importait les informations OO exportées par OOAnalayzer dans l'ensemble d'outils de rétro-ingénierie Ghidra. Pour obtenir cette fonctionnalité maintenant et à l'avenir, installez le plugin Ghidra Kaiju, qui inclut la fonctionnalité fournie par le plugin OOAnalayzer.
CallAnalyzer est un outil pour rapporter les paramètres statiques des appels API dans un programme binaire. C'est en grande partie une démonstration de nos capacités actuelles de convention d'appel, d'analyse de paramètres et de détection de types, bien qu'il fournisse également une analyse utile du code dans un programme.
FN2Yara est un outil pour générer des signatures YARA pour faire correspondre des fonctions dans un programme exécutable. Les programmes qui partagent un nombre significatif de fonctions sont susceptibles d'avoir un comportement en commun.
FN2Hash est un outil pour générer une variété de hachages et d'autres propriétés descriptives pour les fonctions d'un programme exécutable. Comme FN2Yara, il peut être utilisé pour prendre en charge l'analyse de similarité binaire, ou fournir des caractéristiques pour les algorithmes d'apprentissage automatique.
DumpMASM est un outil pour extraire des listes de désassemblage d'un exécutable en utilisant le framework Pharos dans le même style que les autres outils. Il n'a pas été activement maintenu, et vous devriez envisager d'utiliser plutôt le recursiveDisassemble standard de ROSE http://rosecompiler.org/ROSE_HTML_Reference/rosetools.html.
