• Panoramica
  • Requisiti
  • Funzionalità
  • Scripting
• Utilizzo
  • Simulare senza eseguire
  • Analisi iniziale
  • Eseguire uno script IDA Python
  • Binary diffing
    • Requisiti
    • Analisi iniziale
    • Diffing dei file
    • Diffing di una funzione
  • Filtri
    • Rilevamento dell'architettura
    • Specifici per target
• Progetti noti che utilizzano idahunt

Panoramica

idahunt è un framework per analizzare binari con IDA Pro e cercare cose in IDA Pro. È uno strumento a riga di comando per analizzare tutti i file eseguibili ricorsivamente da una cartella data. Esegue IDA in background così non devi aprire manualmente ogni file. Supporta l'esecuzione di script IDA Python esterni.

Requisiti

• Solo Python3 (tranne gli script IDA Python che possono essere Python2/Python3 a seconda della configurazione di IDA)
• IDA Pro
• Windows, Linux, OS X

Funzionalità

• Specificare quante istanze di IDA vuoi eseguire simultaneamente
• Automatizzare la creazione di IDB per più eseguibili
• Eseguire script IDA Python su più eseguibili
• Aprire più IDB esistenti
• Supportare qualsiasi formato binario (raw assembly/PE/ELF/MACH-O/etc.) supportato da IDA
• (Opzionale) Includere helper IDA Python. Puoi usarli per creare facilmente i tuoi script IDA Python oppure puoi usare qualsiasi altra libreria IDA Python come sark o bip per citarne alcune

Esempi utili includono (elenco non esaustivo):

• Analizzare gli aggiornamenti Patch Tuesday di Microsoft
• Analizzare malware della stessa famiglia
• Analizzare più versioni dello stesso software
• Analizzare un gruppo di binari (UEFI, HP iLO, router Cisco IOS, firewall Cisco ASA, ecc.)

Scripting

Le capacità degli script IDA Python sono illimitate. Puoi importare qualsiasi script IDA Python esistente o crearne uno tuo. Alcuni esempi:

• Rinominare funzioni in base a stringhe di debug
• Decriptare stringhe (es. malware)
• Cercare lo stesso simbolo in più versioni (usando euristiche)
• Cercare gadget ROP
• Trasferire nomi/simboli di funzioni reverse-engineered da una versione all'altra usando strumenti come diaphora
• Ecc.

Utilizzo

• idahunt.py: strumento principale per analizzare file eseguibili
• filters/: contiene filtri di base per decidere quali file in una directory di input analizzare con IDA
  • filters/default.py: filtro di base predefinito che non filtra nulla e usato per impostazione predefinita
  • filters/ciscoasa.py: utile per analizzare immagini di Cisco ASA Firewall
  • filters/hpilo.py: utile per analizzare immagini HP iLO
  • filters/names.py: filtro di base basato su nome, lunghezza del nome o estensione
• script_template.py: contiene uno script IDA Python hello world

C:\idahunt> C:\Python37-x64\python.exe .\idahunt.py -h
usage: idahunt.py [-h] [--inputdir INPUTDIR] [--analyse] [--open]
                  [--ida-args IDA_ARGS] [--scripts SCRIPTS [SCRIPTS ...]]
                  [--filter FILTER] [--cleanup] [--temp-cleanup] [--verbose]
                  [--max-ida MAX_IDA] [--list-only] [--version IDA_VERSION]

optional arguments:
  -h, --help            show this help message and exit
  --inputdir INPUTDIR   Input folder to search for files
  --analyse, --analyze  analyse all files i.e. create .idb for all of them
  --open                open all files into IDA (debug only)
  --ida-args IDA_ARGS   Additional arguments to pass to IDA (e.g.
                        -p<processor> -i<entry_point> -b<load_addr>)
  --scripts SCRIPTS [SCRIPTS ...]
                        List of IDA Python scripts to execute in this order
  --filter FILTER       External python script with optional arguments
                        defining a filter for the names of the files to
                        analyse. See filters/names.py for example
  --cleanup             Cleanup i.e. remove .asm files that we don't need
  --temp-cleanup        Cleanup temporary database files i.e. remove .id0,
                        .id1, .id2, .nam, .dmp files if IDA Pro crashed and
                        did not delete them
  --verbose             be more verbose to debug script
  --max-ida MAX_IDA     Maximum number of instances of IDA to run at a time
                        (default: 10)
  --list-only           List only what files would be handled without
                        executing IDA
  --version IDA_VERSION
                        Override IDA version (e.g. "7.5"). This is used to
                        find the path of IDA on Windows.

Simulare senza eseguire

Puoi usare --list-only con qualsiasi riga di comando per elencare semplicemente cosa farebbe lo strumento senza realmente farlo.

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v" --list-only
[idahunt] Simulating only...
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe

Analisi iniziale

Qui avviamo un'analisi iniziale. Termina dopo alcuni secondi:

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v"
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Qui ripuliamo i file temporanei .asm creati dall'analisi iniziale:

C:\idahunt>idahunt.py --inputdir C:\re --cleanup
[idahunt] Deleting C:\re\cves\cve-2014-4076.asm
[idahunt] Deleting C:\re\DownloadExecute.asm
[idahunt] Deleting C:\re\ReverseShell.asm

Possiamo vedere l'.idb generato e anche alcuni file .log che contengono la finestra di output di IDA Pro.

C:\idahunt>tree /f C:\re
Folder PATH listing
Volume serial number is XXXX-XXXX
C:\RE
│   DownloadExecute.exe
│   DownloadExecute.idb
│   DownloadExecute.log
│   ReverseShell.exe
│   ReverseShell.idb
│   ReverseShell.log
│
└───cves
        cve-2014-4076.dll
        cve-2014-4076.exe
        cve-2014-4076.idb
        cve-2014-4076.log

Eseguire uno script IDA Python

Qui eseguiamo uno script IDA Python di base che stampa [script_template] I execute in IDA, yay! nella finestra di output di IDA Pro.

C:\idahunt>idahunt.py --inputdir C:\re --filter "filters\names.py -a 32 -v" --scripts C:\idahunt\script_template.py
[idahunt] EXECUTE SCRIPTS
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.dll
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\DownloadExecute.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Poiché viene salvato nel file .log, possiamo verificare che è stato eseguito correttamente:

Autoanalysis subsystem has been initialized.
Database for file 'ReverseShell.exe' has been loaded.
Compiling file 'C:\Program Files (x86)\IDA 6.95\idc\ida.idc'...
Executing function 'main'...
[script_template] I execute in IDA, yay!

Binary diffing