Pharos静的バイナリ分析フレームワークは、カーネギーメロン大学ソフトウェア工学研究所のプロジェクトです。このフレームワークは、バイナリプログラムの自動分析を容易にするために設計されています。ディスアセンブリ、制御フロー分析、命令セマンティクスなどには、ローレンス・リバモア国立研究所が開発したROSEコンパイラインフラストラクチャを使用しています。このソフトウェアはBSD ライセンスの下で公開されています。
現在のディストリビューションは、以前のバージョンからの大幅なアップデートであり、OOAnalyzerツールの改善、実験的なパス分析コード、パーティショナーの改良、マルチスレッド化、その他多くの小規模な機能強化を含むさまざまな機能が追加されています。
Pharosフレームワークは研究プロジェクトであり、コードは活発に開発されています。いかなる目的に対する適合性の保証も提供されません。このリリースにはビルド手順、ユニットテスト、および一部のドキュメントが含まれていますが、まだ多くの作業が残っています。いくつかの選択されたビルド構成でテストしましたが、ソースコードの移植性については積極的にテストしていません。詳細については、インストール手順を参照してください。
このコードを公開する主な目的は、研究の透明性を提供し、他のバイナリ静的解析研究者との議論を促進することですので、この研究に関するご質問は、お気軽にCory Cohen [email protected]までご連絡ください。タイムリーに返信できないかもしれませんが、最善を尽くします。
ApiAnalyzerは、指定されたデータ関係と制御関係を持つAPI呼び出しのシーケンスを検出するためのツールです。この機能は、ファイルを開き、書き込み、閉じるといった一般的なオペレーティングシステムの相互作用パラダイムを検出するために使用されます。
OOAnalyzerは、オブジェクト指向構造の解析と復元のためのツールです。このツールは、2018年のACM Conference on Computer and Communications Securityで発表された論文「Using Logic Programming to Recover C++ Classes and Methods from Compiled Executables」の主題となりました。このツールは、プログラム内の関数間のオブジェクトポインタを追跡することで、オブジェクトのメンバとメソッドを識別します。このツールの以前の実装は「Objdigger」という名前でしたが、Prologルールを使用してオブジェクト属性を復元する大幅な再設計を反映して改名されました。現在のバージョンのツールは、Microsoft Visual C++でコンパイルされた32ビットx86実行ファイルの解析のみをサポートしています。非常に大きな実行ファイルでOOAnalyzerを実行する方法の詳細な手順については、これらのノートを参照してください。
Pharosディストリビューションには以前、OOAnalayzerによってエクスポートされたOO情報をGhidraリバースエンジニアリングツールセットにインポートするプラグインが含まれていました。現在および将来にその機能を利用するには、OOAnalayzerプラグインが提供していた機能を含むKaiju Ghidraプラグインをインストールしてください。
CallAnalyzerは、バイナリプログラム内のAPI呼び出しの静的パラメータを報告するツールです。これは、現在の呼び出し規約、パラメータ分析、および型検出機能のデモンストレーションですが、プログラム内のコードの有用な分析も提供します。
FN2Yaraは、実行可能プログラム内の関数をマッチングするためのYARAシグネチャを生成するツールです。多くの関数を共有するプログラムは、共通の動作を持つ可能性が高いです。
FN2Hashは、実行可能プログラム内の関数のさまざまなハッシュやその他の記述プロパティを生成するツールです。FN2Yaraと同様に、バイナリ類似性分析をサポートしたり、機械学習アルゴリズムのための特徴を提供するために使用できます。
DumpMASMは、Pharosフレームワークを使用して実行ファイルから他のツールと同じスタイルで逆アセンブリリストをダンプするツールです。積極的にはメンテナンスされておらず、代わりにROSEの標準のrecursiveDisassembleを使用することを検討してください http://rosecompiler.org/ROSE_HTML_Reference/rosetools.html。
