iOS AArch64 Syscall विश्लेषक

एक IDA Pro स्क्रिप्ट जो AArch64 बाइनरी को SVC निर्देशों के लिए स्कैन करती है, X16 रजिस्टर से BSD syscall संख्या को हल करती है, और प्रत्येक परिणाम को एक समृद्ध डॉकेबल UI में प्रस्तुत करती है, जिसमें प्रति-सिस्कॉल घटना नेविगेशन और लाइव मैन-पेज दस्तावेज़ीकरण प्राप्त करना शामिल है।

iOS / macOS रिवर्स इंजीनियरिंग के लिए IDA Pro 9.x पर बनाया गया। इसके निर्माण का एकमात्र उद्देश्य था जब मैं iOS प्लेटफार्मों को रिवर्स इंजीनियर कर रहा था जिनमें syscalls तक एंटी-टैम्पर उपाय थे। मैं syscalls को कंसोल पर प्रिंट करने से ऊब गया था और कुछ उचित चाहता था जिसे देखा जा सके और साथ ही लाइव दस्तावेज़ीकरण प्राप्त कर सके।

यह संपूर्ण ReadMe AI द्वारा उत्पन्न है, स्क्रिप्ट के अधिकांश भागों के साथ भी ऐसा ही है। मैंने इसका आधार लिखा था और फिर क्लॉड ओपस 4.7 को अपना जादू करने दिया ताकि एक सुंदर यूज़र-इंटरफ़ेस के साथ सब कुछ एक साथ लाया जा सके।

विशेषताएँ

• पूर्ण बाइनरी स्कैन — प्रत्येक SVC #0x80 निर्देश ढूंढता है और 8 निर्देश पीछे तक MOV X16, #num सेटअप को हल करता है
• 556-प्रविष्टि syscall मानचित्र — पूर्ण iOS/macOS AArch64 BSD syscall तालिका (Darwin XNU)
• 9 रंग-कोडित श्रेणियाँ — फ़ाइल I/O, नेटवर्क, मेमोरी, प्रोसेस, थ्रेडिंग, IPC, सुरक्षा, समय, विविध; रंग IDA के स्वयं के डिसअसेंबली पैलेट का पुन: उपयोग करते हैं
• डॉकेबल पैनल — IDA के अंदर एक मूल उपकरण की तरह रहता है; स्क्रिप्ट को फिर से चलाएं उसी विंडो को फिर से फोकस करने के लिए
• रीयल-टाइम फ़िल्टर — नाम, संख्या (0x5, 5), या फ़ंक्शन नाम से खोजें; ड्रॉपडाउन से श्रेणी द्वारा भी फ़िल्टर करें
• घटना तालिका — प्रत्येक पता और RVA सूचीबद्ध करता है जहां दिया गया syscall दिखाई देता है, क्रमबद्ध; डबल-क्लिक करें या Enter दबाएं IDA में उस पते पर जाने के लिए
• लाइव दस्तावेज़ीकरण — पृष्ठभूमि थ्रेड में man.freebsd.org से पूर्ण man 2 पृष्ठ प्राप्त करता है (Darwin BSD-व्युत्पन्न है); परिणाम प्रति सत्र कैश किए जाते हैं
• अंतर्निहित विवरण — ~250 syscalls में तुरंत उपलब्ध एक-पंक्ति विवरण है बिना नेटवर्क अनुरोध के
• JSON निर्यात — सभी मिले syscalls (नाम, संख्या, पता, RVA, फ़ंक्शन, श्रेणी) को JSON फ़ाइल में डंप करता है
• दायाँ-क्लिक संदर्भ मेनू — नाम कॉपी करें, संख्या कॉपी करें, पहली घटना पर जाएं, मैन पेज प्राप्त करें (syscall तालिका); पता कॉपी करें, फ़ंक्शन नाम कॉपी करें (घटना तालिका)
• कीबोर्ड शॉर्टकट — Ctrl+F खोज बॉक्स को फोकस करता है; चयनित घटना पर Enter उस पर नेविगेट करता है

आवश्यकताएँ

PyQt5 फ़ॉलबैक — स्क्रिप्ट पुराने संस्करणों के लिए IDA के PyQt5 शिम के साथ भी काम करती है।

IDA के Python वातावरण में requests स्थापित करने के लिए, IDA के Python कंसोल में यह चलाएँ:

import subprocess, sys
subprocess.run([sys.executable, "-m", "pip", "install", "requests"])

स्थापना

1. syscall_ios.py को अपनी मशीन पर कहीं भी कॉपी करें।
2. IDA Pro में अपनी लक्ष्य बाइनरी खोलें।
3. फ़ाइल → स्क्रिप्ट फ़ाइल… के माध्यम से स्क्रिप्ट चलाएँ या इसे IDA विंडो में खींचें।

विश्लेषक पैनल स्वचालित रूप से खुलता है और स्कैनिंग शुरू करता है।

उपयोग

स्क्रिप्ट चलाना

File → Script file… → syscall_ios.py

या IDA के स्क्रिप्ट कमांड (Shift+F2) का उपयोग करके सीधे पेस्ट और चलाएँ।

पैनल अवलोकन

श्रेणी रंग संदर्भ

रंग IDA Pro के स्वयं के डिसअसेंबली हाइलाइट पैलेट को दर्पण करते हैं ताकि आउटपुट मूल लगे।

निर्यात प्रारूप

JSON निर्यात एक फ़ाइल उत्पन्न करता है जैसे:

[
  {
    "name": "read",
    "number": 3,
    "number_hex": "0x3",
    "address": "0x1001a4bc",
    "rva": "0x4bc",
    "function": "sub_1001A0000",
    "category": "File I/O"
  },
  ...
]

Syscall कवरेज

एम्बेडेड तालिका Darwin/XNU BSD परत (0x2000000 वर्ग) से 556 syscalls को कवर करती है, जिनमें शामिल हैं:

• मानक POSIX (read, write, open, mmap, socket, …)
• Darwin एक्सटेंशन (csops, guarded_open_np, memorystatus_control, kevent_qos, …)
• iOS-विशिष्ट (pid_hibernate, abort_with_payload, necp_*, os_fault_with_payload, …)
• Pthread कर्नेल सहायता (psynch_mutexwait, psynch_cvwait, , …)

Mach ट्रैप और libsystem रैपर जो एक अलग ट्रैप वर्ग से होकर जाते हैं, शामिल नहीं हैं — यह केवल BSD वर्ग (SVC #0x80 जिसमें X16 = 0x2000000 | num) को कवर करता है।

नोट्स

• syscall संख्या को SVC निर्देश से 8 निर्देशों के भीतर MOV X16, #imm के लिए पीछे की ओर स्कैन करके हल किया जाता है। अप्रत्यक्ष लोड (जैसे LDR X16, [...]) को UNKNOWN के रूप में दिखाया जाएगा।
• फ़ाइल के शीर्ष पर SLIDE स्थिरांक का प्रदर्शित पतों पर कोई प्रभाव नहीं है — इसे लाइव lldb सत्र के साथ सहसंबंधित करने के लिए एक टिप्पणी संदर्भ के रूप में रखा गया है।
• पुन: स्कैन करने पर वर्तमान में लोड की गई बाइनरी पर पूर्ण विश्लेषण फिर से चलता है; पहले से प्राप्त मैन पेज कैश रहते हैं।