RESim

Rétro-ingénierie à l'aide d'un simulateur de système complet.

• Analyse dynamique par instrumentation du matériel simulé à l'aide de Simics[1]
• Tracer les arbres de processus, les appels système et les programmes individuels
• Exécution inverse vers des points d'arrêt et des événements sélectionnés
• Intégré avec le client de débogage IDA Pro(tm)
• Plugins Ghidra pour utilisation avec le débogueur Ghidra
• Fuzzing avec un AFL personnalisé, injectant directement dans la mémoire simulée

RESim est un outil d'analyse dynamique de système qui fournit une vision détaillée des processus, des programmes et du flux de données au sein d'ordinateurs en réseau. RESim simule des réseaux d'ordinateurs en utilisant les modèles haute fidélité de la plateforme Simics pour les processeurs, les périphériques (par exemple, les cartes d'interface réseau) et les disques. Les modèles de plateformes informatiques en réseau chargent et exécutent des logiciels cibles copiés à partir d'images extraites des systèmes physiques simulés.

RESim facilite la rétro-ingénierie et l'analyse des vulnérabilités des réseaux de systèmes Linux et Windows en inventoriant les processus en fonction des programmes qu'ils exécutent et des données qu'ils consomment. Les sources de données incluent les fichiers, les interfaces périphériques et les mécanismes de communication inter-processus. L'exécution des processus et la consommation des données sont documentées grâce à une analyse dynamique d'un système simulé en cours d'exécution, sans installation ni injection de logiciel dans le système simulé, et sans connaissance détaillée du noyau hébergeant les processus.

RESim offre également une visibilité interactive sur des programmes individuels en cours d'exécution grâce à des plugins pour les désassembleurs/débogueurs IDA Pro et Ghidra. Le désassembleur/débogueur permet de définir des points d'arrêt pour suspendre la simulation à des événements sélectionnés, que ce soit dans le futur ou dans le passé[2]. Par exemple, RESim peut diriger l'état de la simulation en arrière jusqu'à la modification la plus récente d'une adresse mémoire sélectionnée. Des points de contrôle rechargeables peuvent être générés à tout moment pendant l'exécution du système. Une simulation RESim peut être mise en pause pour inspection, par exemple lorsqu'un processus spécifique est planifié pour exécution, puis reprise, potentiellement avec un état mémoire ou registre modifié. L'analyste peut modifier explicitement le contenu de la mémoire ou des registres, et peut également augmenter dynamiquement la mémoire en fonction d'événements système, par exemple changer une entrée de fichier mot de passe lors de sa lecture par le programme su.

L'analyse est effectuée entièrement par observation de l'état mémoire et processeur du système cible simulé, sans nécessité de shells, d'injection logicielle ou de tables de symboles du noyau. L'analyse est dite externe car les fonctions d'observation n'ont aucun effet sur l'état du système simulé.

RESim a été intégré avec le fuzzer American Fuzzing Lop (AFL). Ce système de fuzzing injecte des données fuzzées directement dans le tampon de lecture de l'application, simplifiant la configuration et le flux de travail du fuzzing. RESim rejoue et analyse automatiquement tout crash détecté, identifiant les causes des crashes, par exemple la corruption du contrôle d'exécution.

Veuillez vous référer au Guide de l'utilisateur RESim pour des informations supplémentaires. Une brève démonstration de RESim peut être vue ici : (https://nps.box.com/s/rf3n104ualg38pon6b7fm6m6wqk9zz50)

Des exemples d'images disque sont décrits dans ce readme

RESim est dérivé d'une plateforme d'analyse de vérification de logiciels et de forensique créée pour le DARPA Cyber Grand Challenge. Ce dépôt se trouve ici : https://github.com/mfthomps/cgc-monitor. Un article décrivant ce travail est disponible à https://www.sciencedirect.com/science/article/pii/S1742287618301920 Et un bon résumé de l'utilisation de Simics dans le CGC Monitor est à https://software.intel.com/content/www/us/en/develop/blogs/simics-software-automates-cyber-grand-challenge-validation.html

[1]Simics est un simulateur de système complet développé par Intel, qui détient toutes les marques commerciales pertinentes. [2]Simics 7 a déprécié "l'exécution inverse", mais RESim l'ajoute à nouveau.

Licence

This software was created by United States Government employees
and may not be copyrighted.
Redistribution and use in source and binary forms, with or without
modification, are permitted provided that the following conditions
are met:
1. Redistributions of source code must retain the above copyright
   notice, this list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright
   notice, this list of conditions and the following disclaimer in the
   documentation and/or other materials provided with the distribution.

THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT,
INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN
ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGE.