quarkslab/qsynthesisグレーボックスシンセサイザーは、アセンブリ命令の難読化解除に特化しています。
QSynthesisは、ビットベクトル式のI/Oベースのプログラム合成を行うためのPython3 APIです。コードの難読化解除を容易にすることを目的としています。このアルゴリズムは、ブラックボックスI/Oベースの合成と、部分式を合成するためのホワイトボックスAST検索を組み合わせたグレーボックスアプローチです (ルートノードが合成できない場合)。
このアルゴリズムは、もともとBAR学術ワークショップで発表されました:
このコードは、以下のBlack Hat講演の一部として公開されました:
免責事項: このフレームワークは実験的なものであり、実験目的でのみ使用されるべきです。 主にこの分野の研究を促進することを目的としています。
インストール、例、およびAPIドキュメントは専用のドキュメントで入手できます: Documentation
コアとなる合成はTritonシンボリックエンジンに基づいており、フレームワーク全体がその上に構築されています。以下の機能を提供します:
動作させるには、まずTritonをインストールする必要があります: install documentation。 Tritonは自動的にvirtualenvにインストールされないため、venvにコピーするか、venvの設定時に--system-site-packagesを使用してください。
次に:
$ git clone https://github.com/quarkslab/qsynthesis.git
$ cd qsynthesis
$ pip3 install '.[all]'
[all]はすべての依存関係をインストールします (軽量インストールについてはドキュメントを参照してください)。
合成アルゴリズムは、文法 (変数と演算子のセット) から導出されたオラクルテーブルを生成する必要があります。Qsynthesisのインストールでは、テーブルを操作できるユーティリティ qsynthesis-table-manager が提供されます。以下のコマンドは、64ビットの3つの変数、5つの演算子、16個の入力のベクトルを使用してテーブルを生成します。生成は500万エントリに制限します。
$ qsynthesis-table-manager generate -bs 64 --var-num 3 --input-num 16 --random-level 5 --ops AND,NEG,MUL,XOR,NOT --watchdog 80 --limit 5000000 my_oracle_table
Generate Table
Watchdog value: 80.0
Depth 2 (size:3) (Time:0m0.23120s)
Depth 3 (size:21) (Time:0m0.23198s)
Depth 4 (size:574) (Time:0m0.26068s)
Depth 5 (size:400858) (Time:0m21.23231s)
Threshold reached, generation interrupted
Stop required
Depth 5 (size:5000002) (Time:4m52.56009s) [RAM:9.52Gb]
注: 生成プロセスはRAMを消費します。--watchdog は、生成が中断されるRAMの割合を設定できます。
次に、一見難読化された式を以下のように簡略化してみることができます:
from qsynthesis import SimpleSymExec, TopDownSynthesizer, InputOutputOracleLevelDB
blob = b'UH\x89\xe5H\x89}\xf8H\x89u\xf0H\x89U\xe8H\x89M\xe0L\x89E\xd8H\x8bE' \
b'\xe0H\xf7\xd0H\x0bE\xf8H\x89\xc2H\x8bE\xe0H\x01\xd0H\x8dH\x01H\x8b' \
b'E\xf8H+E\xe8H\x8bU\xe8H\xf7\xd2H\x0bU\xf8H\x01\xd2H)\xd0H\x83\xe8' \
b'\x02H!\xc1H\x8bE\xe0H\xf7\xd0H\x0bE\xf8H\x89\xc2H\x8bE\xe0H\x01\xd0' \
b'H\x8dp\x01H\x8bE\xf8H+E\xe8H\x8bU\xe8H\xf7\xd2H\x0bU\xf8H\x01\xd2' \
b'H)\xd0H\x83\xe8\x02H\t\xf0H)\xc1H\x89\xc8H\x83\xe8\x01]\xc3'
# Perform symbolic execution of the instructions
symexec = SimpleSymExec("x86_64")
symexec.initialize_register('rip', 0x40B160) # arbitrary address
symexec.initialize_register('rsp', 0x800000) # arbitrary stack
symexec.execute_blob(blob, 0x40B160)
rax = symexec.get_register_ast("rax") # retrieve rax register expressions
# Load lookup tables
ltm = InputOutputOracleLevelDB.load("my_oracle_table")
# Perform Synthesis of the expression
synthesizer = TopDownSynthesizer(ltm)
synt_rax, simp = synthesizer.synthesize(rax)
print(f"expression: {rax.pp_str}")
print(f"synthesized expression: {synt_rax.pp_str} [{simp}]")
この研究へのコントリビューターに多大な感謝を: