FireEye Labs Query-Oriented Debugger

flare-qdb एक कमांड-लाइन और स्क्रिप्टेबल पायथन-आधारित उपकरण है जो मूल प्रोग्राम स्थिति का मूल्यांकन और हेरफेर करने के लिए है। यह प्रत्येक क्वेरी किए गए निर्देश पर एक ब्रेकपॉइंट सेट करने और उस पर हिट होने पर पायथन कोड निष्पादित करने के लिए Vivisect का उपयोग करता है।

flare-qdb विश्लेषक को डायनामिक विश्लेषण के लिए एक गैर-रेखीय दृष्टिकोण अपनाने की स्वतंत्रता देता है जो सामान्य डिबगिंग और स्थैतिक विश्लेषण के दौरान उत्पन्न होने वाले प्रश्नों को समायोजित करता है। flare-qdb इन प्रश्नों का उत्तर बिना विश्लेषक को मैन्युअल रूप से एक इंटरैक्टिव डिबगर सत्र स्थापित करने और प्रोग्राम काउंटर को उस कोड स्थान पर नेविगेट करने की आवश्यकता के बिना देता है।

यहाँ कुछ उदाहरण हैं कि flare-qdb किन तत्काल प्रश्नों का उत्तर दे सकता है:

• क्या इस बिंदु पर eax हमेशा इस मान के बराबर होता है?
• इस शाखा से पहले eax किसके बराबर था?
• इस लूप के दौरान यह स्ट्रिंग कौन से मान ग्रहण करेगी?
• आंतरिक लूप के पहले पुनरावृत्ति में, किस आधार पते का उपयोग किया जाता है?
• क्या प्रोग्राम इस लॉजिक पर हिट भी होगा?
• कौन सा कोड पहले निष्पादित होता है?
• क्या लूप पुनरावृत्तियों की संख्या argv[1] के मान पर निर्भर करती है?
• क्या मैं इस शर्त से बचने के लिए कमांड-लाइन तर्कों को बदल सकता हूँ?

flare-qdb का उपयोग प्रोग्राम निष्पादन के स्वचालित, दोहराने योग्य हेरफेर की सुविधा के लिए भी किया जा सकता है। यहाँ कुछ उपयोगी अनुप्रयोगों के उदाहरण हैं:

• एक मैलवेयर नमूने द्वारा उपयोग किए जाने वाले सभी स्ट्रिंग्स को जल्दी से निकालने के लिए विभिन्न तर्कों के साथ एक स्ट्रिंग डिकोडर निष्पादित करना।
• एक कस्टम कमांड और कंट्रोल (C2) सर्वर के तीव्र पुनरावृत्त परीक्षण की अनुमति देने के लिए Sleep() के तर्कों को ओवरराइड करना।
• एक विशेषाधिकार वृद्धि उपकरण को यह बताना कि इसका इंटीग्रिटी स्तर 0x1000 (MANDATORY_LOW_RID) है ताकि इसे अपने एक्सप्लॉइट कोड को निष्पादित करने के लिए प्रेरित किया जा सके।
• एक पैकर को दोहराने योग्य रूप से अनपैक करना जो एक या अधिक गैर-नियतात्मक हीप स्थानों में कूदता है।

flare-qdb कई प्रश्नों को स्वीकार करता है जो एक प्रोग्राम काउंटर या Vivisect अभिव्यक्ति के रूप में होते हैं जिसमें flare-qdb स्क्रिप्टिंग वातावरण में मूल्यांकन करने के लिए कुछ पायथन टेक्स्ट जोड़ा जाता है। Vivisect अभिव्यक्तियों का उपयोग सरल स्थिर प्रोग्राम काउंटर मान जैसे "0x401000", प्रतीकात्मक अभिव्यक्तियाँ जैसे "kernel32.Sleep", और अधिक निर्दिष्ट करने के लिए किया जा सकता है। Vivisect अभिव्यक्तियाँ जटिल स्थितियों को व्यक्त करने के लिए रजिस्टर और मेमोरी स्थिति को भी शामिल कर सकती हैं, जैसे "not eax or (( edx > 3) and (poi(ebp-8) < 5))".

इसके लिए कमांड लाइन तर्क प्रारूप है:

-at <vexpr-pc> <pythontext>

flare-qdb Vivisect अभिव्यक्ति के सत्य मान के आधार पर सशर्त मूल्यांकन का भी समर्थन करता है:

-at-if <vexpr-pc> <vexpr-conds> <pythontext>

flare-qdb सुविधाजनक डिबगिंग के लिए कई बिल्टिन प्रदान करता है, जो कमांड लाइन और इसकी Qdb क्लास के तरीकों दोनों से उपलब्ध हैं।

flare-qdb का मुख्य रूप से विंडोज़ पर परीक्षण किया गया है, लेकिन लिनक्स पर भी काम करता है। दुर्भाग्य से, Vivisect के vtrace.Trace क्लास का डार्विन पोर्ट अधूरा है, इसलिए flare-qdb OSX का समर्थन नहीं करता है।

उदाहरण स्क्रिप्ट्स

flare-qdb De-DOSfuscator के साथ आता है, जो अस्पष्ट बैच फ़ाइलों को चलाकर डिकोड करने का एक उपकरण है। विवरण De-DOSfuscator गाइड में या ब्लॉग Cmd and Conquer: De-DOSfuscation with flare-qdb पढ़कर पाया जा सकता है।

विस्तृत जानकारी

flare-qdb स्थापित करने के बारे में जानकारी स्थापना गाइड में उपलब्ध है।

कमांड लाइन पर flare-qdb का उपयोग करने के बारे में जानकारी कमांड लाइन उपयोग गाइड में उपलब्ध है।

flare-qdb के साथ स्क्रिप्टिंग के बारे में जानकारी स्क्रिप्टिंग गाइड में उपलब्ध है। flare-qdb को स्क्रिप्ट करने के लिए विशिष्ट Qdb क्लास विधियाँ मेथड्स रेफरेंस में पाई जा सकती हैं।

flare-qdb के बिल्टिन का पूरा संदर्भ (CLI और इंस्टेंस विधियों दोनों से उपलब्ध) बिल्टिन रेफरेंस में या flair-qdb स्थापित करने के बाद flareqdb --help-builtins टाइप करके उपलब्ध है।

De-DOSfuscator दस्तावेज़ीकरण De-DOSfuscator गाइड में पाया जा सकता है।

समस्या निवारण जानकारी समस्या निवारण गाइड में पाई जा सकती है।

स्वीकृतियाँ और भविष्य की कार्यक्षमता के बारे में विचार जो उपयोगी हो सकते हैं, नोट्स में पाए जा सकते हैं।