REMARQUE : Après le redémarrage et le chargement d'une fenêtre CodeBrowser, Ghidra vous informera qu'il a trouvé de nouveaux plugins et vous demandera si vous souhaitez les configurer. Seul CodeCut apparaît dans cette fenêtre. Cela est dû au fait que DeepCut est un analyseur « one-shot » (il est toujours installé).

Configuration des chemins Python natifs et des dépendances Python

CodeCut et DeepCut reposent tous deux sur l'extension native PyGhidra et ne sont pas compatibles avec Jython. CodeCut utilise Python natif pour deviner les noms de modules. L'inférence du modèle DeepCut s'exécute en Python natif.

Dépendances Python natives

CodeCut :

• nltk

DeepCut :

• torch
• torch-geometric
• networkx
• scipy

Pour installer les dépendances, exécutez :

en utilisant l'installation Python liée à votre PyGhidra.

Exécution de l'analyse DeepCut

DeepCut est mieux exécuté en tant qu'analyseur « one-shot » après l'auto-analyse initiale. Sélectionnez Analysis -> One Shot -> Deepcut. Après l'exécution de DeepCut, vous pouvez consulter les résultats en regardant le champ Namespace dans la vue Symbol Table.

Utilisation de CodeCut

Après l'exécution de DeepCut, vous pouvez interagir au niveau du fichier objet avec la vue CodeCut Table. Sélectionnez Window -> CodeCut Table pour afficher le tableau. Le tableau CodeCut est essentiellement un ensemble combiné de tables de symboles, une pour chaque module.

Vous pouvez demander à CodeCut de deviner les noms de modules (sur la base des références de chaînes) en choisissant Analysis -> Guess Module Names dans la fenêtre du tableau CodeCut. Cela est utile si votre exécutable cible contient beaucoup de chaînes de débogage. Le script de devinette des noms tente d'abord de trouver les noms de fichiers source, puis se rabat sur les chaînes (y compris les bigrammes et trigrammes) répétées plusieurs fois.

Vous pouvez diviser/combiner des fichiers objets en cliquant avec le bouton droit sur un objet et en choisissant Split Namespace Here / Combine Namespaces. Vous pouvez déplacer des fonctions entre fichiers objets (modifiant ainsi les limites des fichiers objets) par glisser-déposer.

Export vers du C recompilable

CodeCut contient deux options d'export d'un module complet ou d'une sous-plage d'un module en C recompilable sous le menu Export lorsque vous cliquez avec le bouton droit sur un module dans le tableau CodeCut. Cette fonctionnalité est marquée EXPÉRIMENTALE et n'est pas bien testée.

Le graphe CodeCut

CodeCut dispose désormais d'une option graphique pour visualiser les interactions / la hiérarchie des modules au sein d'un binaire. Ajoutez des espaces de noms à la vue graphique en cliquant avec le bouton droit sur une fonction dans le tableau CodeCut et en choisissant Add Namespace to Graph. Vous pouvez supprimer des modules du graphe en cliquant avec le bouton droit et en choisissant Show Namespaces in Graph Filter.

Limitations

Attention où vous cliquez

Bien qu'il semble possible de cliquer avec le bouton droit sur les noms de modules du côté droit, CodeCut prête en réalité attention à la fonction surlignée dans le tableau. Ainsi, par exemple, si vous avez une fonction dans object3 surlignée et que vous cliquez avec le bouton droit sur la case grise object2 à gauche et cliquez sur Combine/Split ou Rename Namespaces, CodeCut effectuera l'opération à partir de la fonction surlignée dans object3.

Particularités des plages d'adresses

CodeCut tente d'ordonner les espaces de noms par leur adresse de début. CodeCut peut sembler lister les modules dans le désordre ; cela est cependant généralement dû à des irrégularités de désassemblage de Ghidra. Par exemple, disons que nous avons une carte mémoire qui ressemble à :

Disons que la fonction à 0x00480000 effectue un branchement ou un saut vers l'adresse 0x00016008. Cela devrait être un nouveau point d'entrée de fonction, mais si une seule fonction l'utilise, Ghidra pourrait ne pas l'étiqueter comme point d'entrée de fonction et le considérer simplement comme faisant partie de FUN_00480000. Cela signifie que la plage réelle d'object50 est 0x00016008 - 0x00480a00. Ainsi, object50 apparaîtra entre object2 et object3 dans le tableau. CodeCut écrit les plages de modules dans le journal d'application de Ghidra pour faciliter le débogage de ce problème. Dans ce cas, définir 0x00016008 comme fonction fera en sorte que les limites d'object50 aient les bonnes valeurs et qu'object50 apparaisse au bon endroit dans le tableau.

Définition de fonctions ultérieurement

Les fonctions définies après l'exécution de l'analyse DeepCut sont par défaut ajoutées à l'espace de noms Global. À l'avenir, nous prévoyons d'ajouter une fonctionnalité qui les ajoutera automatiquement à l'espace de noms le plus proche, ou de fournir un mécanisme pour attribuer plus facilement des fonctions individuelles directement à un espace de noms spécifique.

Construction

Des instructions de construction spécifiques sont fournies dans les sous-dossiers DeepCut et CodeCut.