haruspex

"हैकिंग अपने सभी अनुमानों पर हर समय प्रश्न उठाने का अनुशासन है।"

-- Dave Aitel

Haruspex एक अत्यंत तेज़ IDA हेडलेस प्लगइन है जो IDA के डीकंपाइलर द्वारा उत्पन्न स्यूडोकोड को ऐसे प्रारूप में निकालता है जो किसी IDE में आयात करने, या Semgrep, weggli, या oneiromancer जैसे स्टैटिक विश्लेषण टूल्स द्वारा पार्स करने के लिए उपयुक्त होना चाहिए।

विशेषताएँ

• IDA 9.x और idalib-rs Rust बाइंडिंग्स के सौजन्य से अत्यंत तेज़, हेडलेस उपयोगकर्ता अनुभव।
• IDA के Hex-Rays डीकंपाइलर द्वारा कार्यान्वित किसी भी आर्किटेक्चर के बाइनरी टारगेट्स के लिए समर्थन।
• प्रत्येक फ़ंक्शन का स्यूडोकोड आसान निरीक्षण के लिए आउटपुट डायरेक्टरी में एक अलग फ़ाइल में संग्रहीत किया जाता है।
• ग्लोबल और प्रति-फ़ंक्शन टाइप परिभाषाएँ स्यूडोकोड के साथ हेडर फ़ाइलों में निकाली जाती हैं।
• बाहरी क्रेट्स [decompile_to_file] को इनवोक कर सकते हैं ताकि किसी फ़ंक्शन को डीकंपाइल किया जा सके और उसका स्यूडोकोड और टाइप परिभाषाएँ डिस्क पर सहेजी जा सकें, साथ ही उन फ़ंक्शन्स को अलग पहचाना जा सके जिन्हें डीकंपाइल नहीं किया जा सकता, जैसे कि अनुपलब्ध Hex-Rays लाइसेंस जैसी त्रुटियों से।

लेख

• https://hex-rays.com/blog/streamlining-vulnerability-research-idalib-rust-bindings
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-ida-pro-and-rust

यह भी देखें

• https://github.com/0xdea/ghidra-scripts/blob/main/Haruspex.java
• https://github.com/0xdea/semgrep-rules
• https://github.com/0xdea/weggli-patterns
• https://docs.hex-rays.com/release-notes/9_0#headless-processing-with-idalib
• https://github.com/idalib-rs/idalib
• https://github.com/xorpse/parascope
• https://hnsecurity.it/blog/automating-binary-vulnerability-discovery-with-ghidra-and-semgrep

इंस्टॉल करना

नवीनतम रिलीज़ प्राप्त करने का सबसे आसान तरीका crates.io के माध्यम से है:

1. IDA डाउनलोड, इंस्टॉल और कॉन्फ़िगर करें (देखें https://hex-rays.com/ida-pro)।
2. LLVM/Clang इंस्टॉल करें (देखें https://rust-lang.github.io/rust-bindgen/requirements.html)।
3. Linux/macOS पर, निम्नानुसार इंस्टॉल करें:

   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo install haruspex --locked
   

   Windows पर, इसके बजाय निम्नलिखित कमांड्स का उपयोग करें:

   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo install haruspex --locked
   

कंपाइल करना

वैकल्पिक रूप से, आप सोर्स से बिल्ड कर सकते हैं:

1. IDA डाउनलोड, इंस्टॉल और कॉन्फ़िगर करें (देखें https://hex-rays.com/ida-pro)।
2. LLVM/Clang इंस्टॉल करें (देखें https://rust-lang.github.io/rust-bindgen/requirements.html)।
3. Linux/macOS पर, निम्नानुसार कंपाइल करें:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo build --release --locked
   

   Windows पर, इसके बजाय निम्नलिखित कमांड्स का उपयोग करें:

   git clone --depth 1 https://github.com/0xdea/haruspex
   cd haruspex
   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo build --release --locked
   

उपयोग

1. सुनिश्चित करें कि IDA एक वैध लाइसेंस के साथ ठीक से कॉन्फ़िगर किया गया है।
2. सुनिश्चित करें कि यदि आपकी IDA इंस्टॉलेशन गैर-मानक स्थान पर है तो IDADIR एनवायरनमेंट वेरिएबल सेट है।
3. निम्नानुसार चलाएँ:

   haruspex <binary_file>
   

4. निकाले गए स्यूडोकोड और टाइप परिभाषाओं को <binary_file> के बगल वाली आउटपुट डायरेक्टरी में खोजें, जिसका नाम उसी के नाम पर रखा गया होगा और उसका एक्सटेंशन, यदि कोई हो, .dec से बदल दिया गया होगा (उदाहरण के लिए, foo.exe और foo दोनों foo.dec उत्पन्न करते हैं, इसलिए केवल अपने एक्सटेंशन में भिन्न बाइनरीज़ एक ही आउटपुट डायरेक्टरी साझा करती हैं):

   vim foo.dec
   code foo.dec
   

संगतता

केवल नवीनतम IDA रिलीज़ आधिकारिक रूप से समर्थित है, लेकिन पुराने संस्करण भी काम कर सकते हैं। निम्नलिखित तालिका प्रत्येक IDA संस्करण के लिए नवीनतम संगत रिलीज़ का सारांश प्रस्तुत करती है:

IDA संस्करण	नवीनतम संगत रिलीज़
v9.0.240925	v0.2.4
v9.0.241217	v0.3.5
v9.1.250226	v0.6.2
v9.2.250908	v0.7.5
v9.3.260213	v0.8.1
v9.3.260327	v0.9.0
v9.3.260421	v0.9.3
v9.4.260714	वर्तमान रिलीज़
v9.4.260915	वर्तमान रिलीज़

[!NOTE] अतिरिक्त जानकारी के लिए idalib-rs दस्तावेज़ देखें।

श्रेय

इस परियोजना के विकास को निम्नलिखित संगठनों द्वारा समर्थन दिया गया है:

• HN Security
• Hex-Rays उनके Contributor Program के माध्यम से

चेंजलॉग

• CHANGELOG.md

TODO

• यह सुनिश्चित करने के लिए एक Semgrep CI रिग्रेशन टेस्ट जोड़ें कि पार्स की गई लाइनों का प्रतिशत कम न हो।
• स्यूडोकोड आउटपुट करने के लिए .c के बजाय .cpp एक्सटेंशन का उपयोग करें (यह issue देखें)?
• स्वचालित पार्सिंग और विश्लेषण को सुविधाजनक बनाने के लिए सीरियलाइज़्ड आउटपुट लागू करें।
• Semgrep स्कैनिंग के साथ एकीकृत करें (देखें https://github.com/0xdea/semgrep-rules)।
• weggli स्कैनिंग के साथ एकीकृत करें (देखें https://github.com/0xdea/weggli-patterns)।
• HexRaysPyTools और abyss की शैली में डीकंपाइलर आउटपुट में सुधार करें।
• समानांतर विश्लेषण लागू करें (देखें https://github.com/fugue-re/fugue-mptp)।