shemesh999/oregamiरजिस्टर उपयोग फ्रेम के विश्लेषण के लिए IDA प्लगइन और स्क्रिप्ट
"""
यह रजिस्टर किसके लिए उपयोग होता है?
हम्म.. मैं इसे बहुत ही अनोखे नाम में बदल दूंगा, एक टेक्स्टुअल खोज करूंगा, और सभी संदर्भ ढूंढूंगा!
ठीक.. खोज समाप्त होने की प्रतीक्षा कर रहा हूं.. अब कोई भी पल.. हो गया!
अब मुझे बस यह समझना है कि खोज परिणामों में से कौन सा रजिस्टर के वर्तमान उपयोग फ्रेम से संबंधित है।
कठिन नहीं होना चाहिए, है ना?
"""
अगर आपके साथ ऐसा हुआ है (शायद एक से अधिक बार), तो आपके लिए एक अच्छा मौका है!
बस Shift-X दबाएं, और आपकी परेशानियां दूर हो जाएंगी!
आप उपयोग फ्रेम में रजिस्टर का नाम भी बदल सकते हैं (re(g)name)। बस Shift-N दबाएं, और निर्देशों का पालन करें!
साथ ही - सभी उपयोगों के प्रकारों को एक निश्चित प्रकार में बदलने के बजाय, बस एक बार Shift-T दबाएं।
और अंतिम लेकिन महत्वपूर्ण - यदि आप इस रजिस्टर के सभी उपयोगों के लिए एक ऑफसेट (Ctrl-R करने जैसा) सेट करना चाहते हैं, तो बस Shift-R दबाएं।
नोट: कभी-कभी कोई और प्लगइन पहले से Shift-T का उपयोग कर रहा होता है। उस प्लगइन को हटा दें - आपने वैसे भी इसका कभी उपयोग नहीं किया :-)।
यह प्लगइन IDA स्क्रिप्ट्स के साथ आराम से इंटरैक्ट करने के लिए sark का उपयोग करता है, और फ्रेम स्कैन को कैश करने के लिए cachetools का उपयोग करता है, जिससे यह बहुत तेज़ हो जाता है।
Oregami IDA 7.x/8.x और IDA 9.0+ दोनों का समर्थन करता है।
यदि आप IDA 9 का उपयोग कर रहे हैं, तो सुनिश्चित करें कि आपके पास sark का एक अद्यतित संस्करण है जो IDA 9 को समर्थन करता है।
नोट: IDA 9 ने अपनी खुद की Shift-X कार्यक्षमता पेश की है। यदि आपको oregami के बजाय IDA के अंतर्निहित Shift-X का उपयोग करने की आवश्यकता है, तो आपको प्लगइन फ़ाइल में oregami शॉर्टकट बदलना चाहिए।
[पायथन3 के लिए]
pip3 install sark
[पायथन2 के लिए]
यदि IDA के python2 संस्करण का उपयोग कर रहे हैं, तो आपको इसके बजाय यह चलाना चाहिए:
pip2 install -U git+https://github.com/tmr232/[email protected]#egg=Sark
ध्यान दें कि python2 सक्रिय रूप से समर्थित नहीं है (जैसा कि IDA अधिकतर python3 में स्थानांतरित हो गया है, और मैंने भी ऐसा किया है), इसलिए यह काम नहीं कर सकता है।
git clone https://github.com/shemesh999/oregami
sark कोडबेस कई प्लगइन्स प्रदान करता है। उनमें से एक है: https://github.com/tmr232/Sark/blob/master/plugins/plugin_loader.py
हम अनुशंसा करते हैं कि इसे अपने प्लगइन्स निर्देशिका में कॉपी करें और फिर IDA को एक बार व्यवस्थापक विशेषाधिकारों के साथ चलाएं (ताकि यह plugins.list फ़ाइलें बना सके)।
ऐसा करने के बाद, आप प्लगइन्स.लिस्ट फ़ाइलों में से किसी एक में उनका पथ जोड़कर नए प्लगइन्स जोड़ सकते हैं (जैसे, एक IDA के cfg फ़ोल्डर में बनाई गई है)
अब, plugins.list फ़ाइलों में से एक में जोड़ें:
FULLPATH\oregami\oregami_plugin.py
FULLPATH\oregami\regname_plugin.py
FULLPATH\oregami\typeregter_plugin.py
FULLPATH\oregami\offreg_plugin.py
IDA को पुनरारंभ करें, और प्लगइन्स काम करने चाहिए।
वैकल्पिक रूप से:
सभी फ़ाइलें (आंतरिक oregami फ़ोल्डर सहित, setup.py को छोड़कर) IDA प्लगइन्स निर्देशिका में कॉपी करें।
प्लगइन्स के रूप में उपयोग किए जाने के अलावा, oregami का उपयोग आपकी अपनी स्क्रिप्ट लिखने के लिए भी किया जा सकता है!
इसके लिए, आपको पहले शामिल setup.py फ़ाइल का उपयोग करके इंस्टॉल करना चाहिए। इसका मतलब है कि आपको कॉल करना चाहिए:
'python setup.py develop', और तब से आप आंतरिक क्लासेस और फ़ंक्शन का उपयोग कर सकते हैं।
ध्यान दें कि हम 'install' के बजाय 'develop' का उपयोग करने की सलाह देते हैं, ताकि यदि आप oregami का नया संस्करण खींचते हैं, तो यह तुरंत काम करेगा।
उदाहरण के लिए:
-- script.py --
def find_func_usage(func_ea, reg='r0'):
"""
Find and print all usages of a register, including the information of the specific operands
it is in, and what operation it does in the operand.
"""
import oregami
rf = oregami.RegFrame(func_ea, reg)
for insn in rf.get_instructions():
print('Addr:{:x}'.format(insn.ea))
for opnd in insn.operands:
if opnd.uf_is_external:
continue
print('--opnd_idx:{} - {}'.format(opnd.n, oregami.UsageBits(opnd.op_flags)))
मान लें कि निम्नलिखित ऑपकोड अनुक्रम है:
ROM:01000010 e_lis r10, 0x4004 # 0x40040000 # Load Immediate Shifted
ROM:01000014 e_add16i r10, r10, 0x1337 # 0x40041337 # Add Immediate
ROM:01000020 se_mr r30, r31 # Move Register
ROM:01000022 cmplw r11, r10 # Compare Logical Word
ROM:01000026 se_bge loc_1000036 # Branch if greater than or equal
ROM:01000028
ROM:01000028 loc_1000028: # CODE XREF: sub_0100000+144↓j
ROM:01000028 e_stmw r30, 0(r11) # Store Multiple Word
ROM:0100002C e_add16i r11, r11, 8 # Add Immediate
ROM:01000030 cmplw r11, r10 # Compare Logical Word
ROM:01000034 se_blt loc_1000028 # Branch if less than
ROM:01000036
ROM:01000036 loc_1000036: # CODE XREF: sub_0100000+136↑j
ROM:01000036 e_add16i r10, r10, 8 # Add Immediate
ROM:0100003A e_li r11, 0 # Load Immediate
यदि हम r10 रजिस्टर के उपयोग फ्रेम को पता 01000022 से स्कैन करते हैं, तो हम उपयोग फ्रेम में तीन प्रकार के उपयोग पाएंगे।
इसमें वे निर्देश शामिल होंगे जो रजिस्टर के मान को प्रारंभ करते हैं।
हम केवल अंतिम निर्देश शामिल करना चाह सकते हैं जिसने रजिस्टर मान बदला (उदाहरण में पता 01000014), या रजिस्टर का प्रारंभिक मान सेट करने के लिए उपयोग किए गए संचालन का एक अनुक्रम (उदाहरण में पते 01000010 और 01000014)।
रजिस्टर प्रारंभीकरण में उपयोग किए गए संचालन के अनुक्रम को "init stage" कहा जा सकता है।
आप RegFrame प्रारंभीकरण में पैरामीटर init_stage_bool के आधार पर init stage का समर्थन करने या न करने का चुनाव कर सकते हैं।
इसमें वे निर्देश शामिल होंगे जो रजिस्टर के मान का उपयोग करते हैं, और इसे किसी भी तरह से नहीं बदलते हैं। ये उदाहरण में पंक्तियों 01000022 और 01000030 के अनुरूप हैं।
इसमें वे निर्देश शामिल होंगे जो रजिस्टर के मान का उपयोग करते हैं, लेकिन फिर इसका मान बदल देते हैं। इन निर्देशों को दो अलग-अलग उपयोग फ्रेमों में शामिल माना जा सकता है - वह जो उनकी ओर ले जाता है, और वह जो उनसे उत्पन्न होता है।
यह उदाहरण में पंक्ति 01000036 से मेल खाता है।
उपयोग रजिस्टर को स्कैन करते समय, किसी init ऑपरेशन या break ऑपरेशन तक पहुंचने से हम एक निश्चित दिशा में स्कैन करना बंद कर देंगे।
लेकिन, हम उपयोग फ्रेम के बाहर के निर्देशों के कारण भी स्कैन रोक सकते हैं।
उदाहरण के लिए, r11 रजिस्टर के उपयोग फ्रेम को पता 01000030 से स्कैन करना पंक्ति 0100003A पर रुक जाएगा।