NOTA: Dopo il riavvio e il caricamento di una finestra CodeBrowser, Ghidra vi dirà che ha trovato nuovi plugin e vi chiederà se desiderate configurarli. In questa finestra appare solo CodeCut. Questo perché DeepCut è un analizzatore "one-shot" (è comunque installato).

Configurazione dei percorsi Python nativi e delle dipendenze Python

Sia CodeCut che DeepCut si basano sull'estensione nativa PyGhidra e non sono compatibili con Jython. CodeCut usa Python nativo per indovinare i nomi dei moduli. L'inferenza del modello di DeepCut viene eseguita in Python nativo.

Dipendenze Python native

CodeCut:

• nltk

DeepCut:

• torch
• torch-geometric
• networkx
• scipy

Per installare le dipendenze, eseguire:

usando l'installazione Python collegata al vostro PyGhidra.

Esecuzione dell'analisi DeepCut

DeepCut è preferibile eseguirlo come analizzatore one-shot dopo l'auto-analisi iniziale. Selezionare Analysis -> One Shot -> Deepcut. Dopo l'esecuzione di DeepCut, è possibile visualizzare i risultati guardando il campo Namespace nella vista Symbol Table.

Utilizzo di CodeCut

Dopo l'esecuzione di DeepCut, è possibile interagire a livello di file oggetto con la vista CodeCut Table. Selezionare Window -> CodeCut Table per visualizzare la tabella. La tabella CodeCut è essenzialmente un insieme combinato di symbol table, una per ogni modulo.

È possibile far indovinare a CodeCut i nomi dei moduli (in base ai riferimenti alle stringhe) scegliendo Analysis -> Guess Module Names nella finestra CodeCut Table. Questo è utile se il vostro eseguibile di destinazione ha molti debug string. Lo script di indovinamento dei nomi tenta prima di trovare i nomi dei file sorgente, poi ripiega sulle stringhe (incluse bigrammi e trigrammi) che vengono ripetute più volte.

È possibile dividere/combinare i file oggetto facendo clic con il tasto destro su un oggetto e scegliendo Split Namespace Here / Combine Namespaces. È possibile spostare le funzioni tra i file oggetto (modificando i confini dei file oggetto) trascinandole e rilasciandole.

Esportazione in C ricompilabile

CodeCut contiene due opzioni per esportare un intero modulo o un sottointervallo di un modulo come C ricompilabile sotto il menu Export quando si fa clic con il tasto destro su un modulo nella tabella CodeCut. Questa funzionalità è contrassegnata come SPERIMENTALE e non è ben testata.

Il grafico CodeCut

CodeCut ora ha un'opzione grafica per visualizzare le interazioni / la gerarchia dei moduli all'interno di un binario. Aggiungete namespace alla vista grafica facendo clic con il tasto destro su una funzione nella CodeCut Table e scegliendo Add Namespace to Graph. È possibile rimuovere moduli dal grafico facendo clic con il tasto destro e scegliendo Show Namespaces in Graph Filter.

Limitazioni

Attenzione a dove si fa clic

Sebbene sembri possibile fare clic con il tasto destro sui nomi dei moduli sul lato destro, CodeCut in realtà presta attenzione a quale funzione è evidenziata nella tabella. Quindi, ad esempio, se avete una funzione in object3 evidenziata e fate clic con il tasto destro sulla casella grigia di object2 a sinistra e fate clic su Combine/Split o Rename Namespaces, CodeCut eseguirà l'operazione a partire dalla funzione che avete evidenziato in object3.

Peculiarità degli intervalli di indirizzi

CodeCut tenta di ordinare i namespace in base al loro indirizzo di partenza. CodeCut potrebbe sembrare elencare i moduli fuori ordine, ma ciò è solitamente dovuto a irregolarità del disassembly di Ghidra. Ad esempio, supponiamo di avere una mappa di memoria come questa:

Supponiamo che la funzione a 0x00480000 faccia un branch o un salto a un indirizzo 0x00016008. Questo dovrebbe essere un nuovo punto di ingresso di funzione, ma se solo una funzione lo usa, Ghidra potrebbe non etichettarlo come punto di ingresso di funzione e considerarlo semplicemente parte di FUN_00480000. Ciò significa che l'intervallo effettivo di object50 è 0x00016008 - 0x00480a00. E così object50 apparirà tra object2 e object3 nella tabella. CodeCut scrive gli intervalli dei moduli nel log dell'applicazione di Ghidra per aiutare a eseguire il debug di questo problema. In questo caso, definire 0x00016008 come funzione farà sì che i limiti di object50 abbiano i valori corretti e object50 apparirà nel posto giusto nella tabella.

Definizione di funzioni in seguito

Le funzioni che vengono definite dopo l'esecuzione dell'analisi DeepCut vengono per impostazione predefinita aggiunte al namespace Global. In futuro prevediamo di aggiungere una funzionalità che le aggiunga automaticamente al namespace più vicino, o di fornire un meccanismo per assegnare più facilmente singole funzioni direttamente a un namespace specifico.

Compilazione

Istruzioni di compilazione specifiche sono fornite nelle sottocartelle DeepCut e CodeCut.