Debuggeur Orienté Requêtes des FireEye Labs

flare-qdb est un outil en ligne de commande et scriptable basé sur Python pour évaluer et manipuler l'état natif d'un programme. Il utilise Vivisect pour placer un point d'arrêt sur chaque instruction interrogée et exécute du code Python lorsque celui-ci est atteint.

flare-qdb libère l'analyste pour adopter une approche non linéaire de l'analyse dynamique qui prend en compte les questions qui surviennent au cours du débogage normal et de l'analyse statique. flare-qdb répond à ces questions sans obliger l'analyste à configurer manuellement une session de débogage interactive et à naviguer le compteur de programme jusqu'à cet emplacement de code.

Voici quelques exemples de questions ponctuelles auxquelles flare-qdb peut répondre :

Est-ce que eax est toujours égal à cette valeur à ce point ?
Quelle était la valeur de eax avant cette branche ?
Quelles valeurs cette chaîne prendra-t-elle tout au long de cette boucle ?
À la première itération de la boucle interne, quelle adresse de base est utilisée ?
Le programme va-t-il même atteindre cette logique ?
Quel code s'exécute en premier ?
Le nombre d'itérations de la boucle dépend-il de la valeur de argv[1] ?
Puis-je modifier les arguments de la ligne de commande pour éviter cette condition ?

flare-qdb peut également être utilisé pour faciliter la manipulation automatisée et reproductible de l'exécution du programme. Voici quelques exemples d'applications utiles :

Exécuter un décodeur de chaînes avec différents arguments pour extraire rapidement toutes les chaînes utilisées par un échantillon de malware.
Remplacer les arguments de Sleep() pour permettre des tests itératifs rapides d'un serveur de commande et contrôle (C2) personnalisé.

flare-qdb

Populaires

Exemples de scripts

Informations détaillées