bincat

Introduzione

Cos'è BinCAT?

BinCAT è un toolkit di analisi del codice binario statico, progettato per aiutare i reverse engineer, direttamente da IDA o usando Python per l'automazione.

Caratteristiche:

• analisi dei valori (registri e memoria)
• analisi del taint
• ricostruzione e propagazione dei tipi
• analisi backward e forward
• rilevamento di use-after-free e double-free

In azione

Puoi vedere (una versione precedente di) BinCAT in azione qui:

• Analisi di base
• Utilizzo del tainting dei dati

Consulta il tutorial per vedere le attività corrispondenti.

FAQ veloci

Piattaforme host supportate:

• Plugin IDA: tutte, versione 7.4 o successiva (supportato solo Python 3)
• analizzatore (locale o remoto): Linux, Windows, macOS (forse)

CPU supportate per l'analisi (per ora):

• x86-32
• x86-64
• ARMv7
• ARMv8
• PowerPC

Installazione

Solo IDA v7.4 o successiva è supportata

Versioni precedenti potrebbero funzionare, ma non le supporteremo.

Installazione della distribuzione binaria (consigliata)

La distribuzione binaria include tutto il necessario:

• l'analizzatore
• il plugin per IDA

Passaggi di installazione:

• Estrarre la distribuzione binaria di BinCAT (non il repository git)
• In IDA, fare clic sul menu "File -> Script File..." (o premere ALT-F7)
• Selezionare install_plugin.py
• BinCAT è ora installato nella directory utente di IDA
• Riavviare IDA

Installazione manuale

Analizzatore

L'analizzatore può essere utilizzato localmente o tramite un servizio Web.

Su Linux:

• Usando Docker: Istruzioni per l'installazione tramite Docker
• Manuale: Istruzioni per la compilazione e l'installazione

Su Windows:

• Istruzioni per la compilazione

Plugin per IDA

• Installazione manuale su Windows.
• Installazione manuale su Linux

BinCAT dovrebbe funzionare con IDA su Wine, una volta installato pip:

• Scaricare https://bootstrap.pypa.io/get-pip.py (verificare che sia valido ;)
• ~/.wine/drive_c/Python/python.exe get-pip.py

Utilizzo di BinCAT

Avvio rapido

• Caricare il plugin utilizzando la scorciatoia Ctrl-Shift-B, oppure tramite il menu Edit -> Plugins -> BinCAT

• Andare all'istruzione da cui si desidera avviare l'analisi

• Selezionare il pannello BinCAT Configuration, fare clic su <-- Current per definire l'indirizzo di partenza

• Avviare l'analisi

Configurazione

Le opzioni globali possono essere configurate tramite il menu Edit/BinCAT/Options.

La configurazione e le opzioni predefinite sono memorizzate in $IDAUSR/idabincat/conf.

Opzioni

• "Use remote bincat": selezionare se si esegue docker in un contenitore Docker
• "Remote URL": http://localhost:5000 (o l'URL di un server BinCAT remoto)
• "Autostart": caricamento automatico di BinCAT all'avvio di IDA
• "Save to IDB": stato predefinito per la casella di controllo save to idb

Documentazione

È disponibile un manuale e controllare qui per una descrizione del formato del file di configurazione.

È disponibile un tutorial per aiutarti a provare le funzionalità di BinCAT.

Articoli e presentazioni su BinCAT

• SSTIC 2017, Rennes, Francia: articolo (inglese), diapositive (francese), video della presentazione (francese)
• REcon 2017, Montreal, Canada: diapositive, video

Licenze

BinCAT è rilasciato sotto la GNU Affero General Public Licence.

Il codice OCaml di BinCAT include codice dal runtime originale di Ocaml, rilasciato sotto LGPLv2.

Il plugin IDA di BinCAT include codice da python-pyqt5-hexview di Willi Ballenthin, rilasciato sotto Apache License 2.0.

BinCAT include una copia modificata di newspeak.

Build automatizzati

I build automatizzati per Linux e Windows vengono eseguiti automaticamente utilizzando GitHub Actions (vedere qui), i risultati sono ottenibili nella scheda Actions di GitHub.