mfthomps/resimReverse engineering del software tramite un simulatore di sistema completo.
RESim è uno strumento di analisi dinamica dei sistemi che fornisce una visione dettagliata dei processi, dei programmi e del flusso di dati all'interno di computer in rete. RESim simula reti di computer utilizzando i modelli ad alta fedeltà della piattaforma Simics di processori, dispositivi periferici (ad es., schede di interfaccia di rete) e dischi. I modelli di piattaforma di computer in rete caricano ed eseguono software target copiato da immagini estratte dai sistemi fisici simulati.
RESim aiuta l'ingegneria inversa e l'analisi delle vulnerabilità di reti di sistemi basati su Linux e Windows inventariando i processi in termini di programmi eseguiti e dati consumati. Le fonti di dati includono file, interfacce di dispositivo e meccanismi di comunicazione inter-processo. L'esecuzione dei processi e il consumo di dati sono documentati tramite analisi dinamica di un sistema simulato in esecuzione senza installazione o iniezione di software nel sistema simulato, e senza una conoscenza dettagliata del kernel che ospita i processi.
RESim fornisce anche visibilità interattiva in singoli programmi in esecuzione tramite l'uso di plugin per i disassemblatori/debugger IDA Pro e Ghidra. Il disassemblatore/debugger consente di impostare breakpoint per mettere in pausa la simulazione in eventi selezionati nel tempo futuro o passato[2]. Ad esempio, RESim può dirigere lo stato di simulazione per invertire fino alla modifica più recente di un indirizzo di memoria selezionato. È possibile generare checkpoint ricaricabili in qualsiasi punto durante l'esecuzione del sistema. Una simulazione RESim può essere messa in pausa per ispezione, ad esempio quando un processo specificato è programmato per l'esecuzione, e successivamente continuata, potenzialmente con stato di memoria o registro alterato. L'analista può modificare esplicitamente il contenuto della memoria o dei registri, e può anche aumentare dinamicamente la memoria in base a eventi di sistema, ad esempio modificare una voce del file delle password quando letta dal programma su.
L'analisi viene eseguita interamente attraverso l'osservazione dello stato della memoria e del processore del sistema target simulato, senza bisogno di shell, iniezione di software o tabelle dei simboli del kernel. L'analisi è considerata esterna perché le funzioni di osservazione non hanno alcun effetto sullo stato del sistema simulato.
RESim è stato integrato con il fuzzer American Fuzzing Lop (AFL). Questo sistema di fuzzing inietta dati fuzzati direttamente nel buffer di lettura dell'applicazione, semplificando la configurazione e il flusso di lavoro del fuzzing. RESim esegue automaticamente il replay e l'analisi di eventuali crash rilevati, identificando le cause dei crash, ad esempio il danneggiamento del controllo di esecuzione.
Fare riferimento alla Guida dell'utente di RESim per ulteriori informazioni. Una breve dimostrazione di RESim può essere vista qui: (https://nps.box.com/s/rf3n104ualg38pon6b7fm6m6wqk9zz50)
Immagini disco di esempio sono descritte in questo readme
RESim deriva da una piattaforma di valutazione software e analisi forense creata per la DARPA Cyber Grand Challenge. Quel repository è qui: https://github.com/mfthomps/cgc-monitor. Un articolo che descrive quel lavoro è su https://www.sciencedirect.com/science/article/pii/S1742287618301920. E un buon riassunto dell'uso di Simics nel CGC Monitor è su https://software.intel.com/content/www/us/en/develop/blogs/simics-software-automates-cyber-grand-challenge-validation.html
[1]Simics è un simulatore di sistema completo sviluppato da Intel, che detiene tutti i marchi rilevanti. [2]Simics 7 ha deprecato l'"esecuzione inversa", ma RESim la reintroduce.
This software was created by United States Government employees
and may not be copyrighted.
Redistribution and use in source and binary forms, with or without
modification, are permitted provided that the following conditions
are met:
1. Redistributions of source code must retain the above copyright
notice, this list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright
notice, this list of conditions and the following disclaimer in the
documentation and/or other materials provided with the distribution.
THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
DISCLAIMED. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT,
INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN
ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGE.