**중요 참고**: 이 프로젝트는 Ghidra 10.1_PUBLIC 및 10.2_DEV에서 테스트되었으며, 이전 버전과 호환되지 않습니다.

*`Windows → Script Manager`* 로 이동하여 *`스크립트 디렉터리`* 를 클릭한 다음 *`ghidra_kernelcache`* 를 디렉터리 경로 목록에 추가합니다.
*`Windows → Script Manager`* 로 이동하여 *스크립트* 목록에서 *`iOS→kernel`* 범주로 이동하고 거기에 표시된 플러그인을 체크하면 GHIDRA 툴바에 나타납니다.

[logos/](https://github.com/0x36/ghidra_kernelcache/tree/master/logos) 디렉터리에 각 도구에 대한 자체 로고를 넣을 수 있습니다.

## iOS kernelcache 심볼리케이션

`ghidra_kernelcache`는 첫 번째 단계에서 [iometa](https://github.com/Siguza/iometa/)([@s1guza](https://twitter.com/s1guza) 제작)를 필요로 합니다. iometa는 커널 바이너리에서 C++ 클래스 정보를 제공하는 강력한 도구로, 독립 실행형 바이너리로 작동하여 출력물을 구문 분석만 하면 원하는 RE 프레임워크로 가져올 수 있다는 큰 장점이 있습니다. 제 프레임워크는 iometa의 출력을 가져와 구문 분석하여 심볼리케이션(symbolicate)하고 가상 테이블을 수정합니다.

### 사용법

커널의 압축을 푼 후, 다음 명령어를 실행합니다 :```sh
$ iometa -n -A /tmp/kernel A10-legacy.txt > /tmp/kernel.txt
# if you want also to symbolicate using jtool2
$ jtool2 --analyze /tmp/kernel

보시다시피 kernelcache를 전체 또는 부분적으로 심볼리케이션할 수 있습니다. 부분 심볼리케이션을 선택한 경우, `ghidra_kernelcache`는 진행 전에 모든 클래스 의존성을 자동으로 구성합니다. 전체 kernelcache에 대해 스크립트를 실행(전체 심볼리케이션)하면 `ghidra_kernelcache`가 커널 이미지를 분석하는 데 몇 분이 소요됩니다.

완료되면 Ghidra는 다음을 제공합니다:

→ "iOS"라는 새 카테고리가 북마크 필터(Bookmark Filter)에 추가됩니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image1.png" alt="이미지1" width="200"/>
                    
                    
→ IOKit 클래스 가상 테이블이 'iOS' 북마크에 추가되어 더 빠르고 효율적인 가상 테이블 검색이 가능합니다. 검색창에 문자, 단어 또는 kext 번들을 입력하여 kext나 클래스를 찾을 수 있습니다.

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image2.png" alt="이미지2"/>


→ 가상 테이블 수정: 알 수 없는 코드를 디스어셈블/컴파일하고, 네임스페이스를 수정하며, 클래스 메서드를 다시 심볼리케이션하고 각 메서드에 함수 정의를 적용합니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image3.png" alt="이미지3"/>

→ 클래스 네임스페이스를 생성하고 각 메서드를 해당 네임스페이스에 배치합니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image4.png" alt="이미지4"/>

→ 클래스 계층 구조를 고려한 클래스 구조를 생성합니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image5.png" alt="이미지5"/>

→ 클래스 vtable을 생성하고, 각 메서드에는 더 나은 디컴파일 출력을 위한 자체 메서드 정의가 포함됩니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image6.png" alt="이미지6"/>

전체 구현은 [`utils/class.py.`](https://github.com/0x36/ghidra_kernelcache/blob/master/utils/class.py)에서 확인할 수 있습니다.

다음은 `ghidra_kernelcache`를 사용한 심볼리케이션 전후의 스크린샷입니다:

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image7.png" alt="이미지7"/>

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image8.png" alt="이미지8"/>




## macOS Kext 심볼리케이션
---
`ghidra_kernelcache`의 macOS 지원은 ARM64e 및 x86_64 아키텍처에서 kernelcache와 단일 KEXT 심볼리케이션 모두를 위한 것입니다. 
**중요:** 현재 시점에서 Ghidra는 전체 macOS kernelcache를 파싱할 수 없지만, IDA에 로드하여 초기 분석을 수행한 후 데이터베이스(idb를 xml로)를 Ghidra로 가져오는 것은 가능합니다. 그러나 이는 범위를 벗어납니다. 직접 처리할 수 있다면 `ghidra_kernelcache`가 나머지를 처리합니다.

macOS 커널 익스텐션을 심볼리케이션하기 전에 몇 가지 단계를 거쳐야 합니다. `ghidra_kernelcache`의 주요 목표는 클래스 계층 구조를 재구성하고 모든 클래스 구조를 단일 데이터베이스로 관리하는 것이기 때문에, 커널 익스텐션만으로는 이러한 요구 사항을 충족할 수 없습니다. 즉, 단일 KEXT의 심볼리케이션은 커널의 심볼리케이션과 해당 KEXT가 의존하는 다른 커널 익스텐션의 심볼리케이션이 필요하므로 추가 작업이 필요합니다.
`ghidra_kernelcache`는 이제 Ghidra의 강력한 *DataType Project Archive*를 통해 클래스 구조와 가상 메서드 정의를 관리하고 공유함으로써 커널을 포함한 커널 익스텐션을 심볼리케이션하는 강력한 방법을 제공합니다.

### 커널 익스텐션 심볼리케이션 단계
- Ghidra 프로젝트에 새 폴더를 만든 다음, ` /System/Library/Kernels/kernel.release.XXXXX`를 해당 폴더에 로드하고 Ghidra가 이를 분석하도록 합니다.
- 새 *Project Archive*를 만듭니다: `DataType Provider`로 이동 → 창의 오른쪽 상단에 있는 화살표 클릭 → `New Project Archive` → 새로 만든 폴더 안에 배치 → 적절한 이름으로 지정합니다(예: macOS_12.1). 
- 이제 `ghidra_kernelcache`를 사용하여 커널을 심볼리케이션합니다. 이 과정은 iOS *kernelcache* 심볼리케이션과 매우 유사합니다.```bash
$ iometa -n -A /System/Library/Kernels/kernel.release.t8101 > /tmp/kernel.txt

- 완료되면, 커널 아카이브와 `macOS_12.1` 아카이브 간의 데이터베이스 연결이 생성됩니다. 이제 `kernel.release.t8001`을 마우스 오른쪽 버튼으로 클릭하고 → `Commit DataTypes To` → `macOS_12.1`을 선택합니다.
- 그런 다음 `마우스 오른쪽 버튼 클릭` →`Select All` → `Commit`.
- 프로젝트 아카이브 저장 : `마우스 오른쪽 버튼 클릭` → `Save Archive`.
방금 모든 커널 확장 간에 공유할 수 있는 프로젝트 아카이브를 생성했습니다.
Apple Silicon용 `IOSurface` Kext의 예를 들어보겠습니다.```bash
$ lipo /System/Library/Extensions/IOSurface.kext/Contents/MacOS/IOSurface -thin arm64e -output /tmp/iosurface.arm64e
$ iometa -n -A /tmp/iosurface.arm64e > /tmp/iosurface.txt

**중요 참고사항**: 때때로 `kc.process_kernel_kext()`가 Ghidra가 일부 C++ 심볼을 디맨글링하지 못해 실패합니다. 이 문제를 해결하려면 스크립트 관리자로 이동하여 `DemangleAllScript.java` 스크립트를 실행한 다음 `kc.process_kernel_kext()`를 다시 시작하십시오. 

### 사용자 정의 클래스 
일부 C++ 클래스가 `ghidra_kernelcache` 및 `iometa`에서 심볼리케이트할 수 없는 경우가 있어, 이를 처리하기 위해 새로운 기능이 추가되었습니다.
`Custom()` 클래스 재구성은 모든 `::vtable` 심볼을 순회하며 해당 클래스가 이미 정의되었는지 확인하고, 정의되지 않은 경우 자동으로 클래스 구조, 식별된 각 클래스 메서드에 대한 함수 정의, 네임스페이스 및 각 클래스에 대한 가상 함수 테이블을 생성합니다. 

현재 사용자 정의 클래스 생성은 macOS에서만 지원됩니다.```bash
$ iometa -n -A /System/Library/Kernels/kernel.release.t8101 > /tmp/kernel.txt
$ iometa -n -A <kext_path> >> /tmp/kernel.txt

kc = Custom(Obj)

kc.process_all_classes()
kc.explore_pac()

## Miscellaneous scripts
---
### KDK의 Dwarf4 가져오기
Ghidra가 해당 `.dsym` 디렉토리를 로드하지 못하는 문제가 있어 이를 해결하기 위한 작은 스크립트를 만들었습니다. [여기](https://github.com/0x36/ghidra_kernelcache/blob/master/dwarf4_fix.py)에서 찾을 수 있습니다.
**사용법** : KDK 경로에서 커널을 로드하고, Ghidra가 분석을 완료할 때까지 기다린 후 `dwarf_fix.py`를 실행하면 심볼을 로드하며, 이 과정은 몇 분 정도 걸릴 수 있습니다.
<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image12.png" alt="image12"/>

### 가상 메서드 호출 참조 해결
`ghidra_kernelcache`는 `kernelCache.explore_pac` 또는 `fix_extra_refs`를 통해 가상 호출을 해결하는 두 가지 방법을 제공합니다.

**kernelCache.explore_pac()**
arm64e 바이너리를 작업 중인 경우, `ghidra_kernelcache`는 `Pointer Authentication Code` 값을 찾아 가상 메서드 호출을 인식할 수 있습니다. 이 과정은 간단하며, `fix_extra_refs()`와 달리 `kernelCache.explore_pac`은 `Pcode` 또는 `varnode` 식별에 의존하지 않고, 프로그램의 모든 명령어를 반복하며 `MOVK` 명령어를 검색하고 두 번째 피연산자를 가져와 데이터베이스에서 해당 값을 찾습니다.
사용법 : **kernelCache**, **Kext** 또는 **Custom**을 통해 *KernelCache* 인스턴스를 생성한 후 `explore_pac()` 메서드를 호출하세요.```py
from utils.helpers import *
from utils.kext import *

if __name__ == "__main__":
    default = "/tmp/kernel.txt"
    ff = askString("iometa symbol file","Symbol file: ",default)
    iom = ParseIOMeta(ff)
    Obj = iom.getObjects()

    kc = Kext(Obj)

   	 kc.explore_pac()

Here is an output example of using `fix_extra_refs` :

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image9.png" alt="image9"/>

수동 수정 없이 **IOService::isOpen()**, **OSArray:getNextIndexOfObject()** 및 **IOStream::removeBuffer()** 가상 호출을 성공적으로 해결했음을 주목하세요.

다음으로,  `fix_extra_refs`는 **IOStream::removeBuffer()**를 디컴파일하고, 이 메서드의 모든  HighVariables를 가져온 다음 이전 메서드와 마찬가지로 그들의 참조를 해결합니다... 그리고 계속됩니다.
<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image10.png" alt="image10"/>

### 외부 메서드 테이블 자동 수정

모든 연구자가 이 부분을 처리하기 위한 스크립트를 가지고 있다고 생각합니다. IOKit의 주요 공격 표면이기 때문에 수동으로 처리하는 것은 부담이며, 연구자가 여러 외부 메서드 테이블을 파고들고 싶어하는 방식으로 자동화되어야 합니다. 
`ghidra_kernelcache`에 의해 제공되는 두 가지 스크립트가 있습니다: **fix_methodForIndex.py** 및 **fix_extMethod.py.** 위에 표시된 것처럼 다른 스크립트와 마찬가지로 활성화할 수 있습니다.

***사용법***: 커서를 외부 디스패치 테이블의 시작 부분에 놓고 스크립트를 실행합니다: 대상과 선택기 수를 제공합니다.
예:  `IOStreamUserClient::getTargetAndMethodForIndex()` :

<img src="https://raw.githubusercontent.com/0x36/ghidra_kernelcache/master/screenshots/image11.png" alt="image11"/>


### namespace.py : 메서드 네임스페이스 수정…
이 스크립트는 발견된 모든 메서드에 클래스 유형을 채우는 유용한 스크립트이며, 호출된 함수를 재귀적으로 탐색하고 참조를 해결하기 위해 `extra_refs.py` 스크립트의 종속성입니다.

***사용법***: 원하는 함수의 디컴파일러 출력에 커서를 놓고 도구 모음에서 스크립트를 실행하거나 **Meta-Shift-N**을 누릅니다.

### 심볼 이름 및 유형 전파
`ghidra_kernelcache`는 기본 Pcode 연산에 대한 유형 전파 지원을 제공하지만, 복잡한 캐스팅을 사용하는 일부 변수에서는 실패할 가능성이 있습니다.
누군가 도움을 주고 싶거나 Ghidra에서 저수준 작업을 시작하고 싶다면, 이것이 그 기회입니다.
구현은 [ghidra_kernelcache/propagate.py](https://github.com/0x36/ghidra_kernelcache/blob/master/propagate.py)에서 확인할 수 있습니다.

### 함수 시그니처 로드

Ghidra에서 C++ 헤더 파일을 구문 분석하는 것은 불가능하며, kernelcache에 커널 함수 시그니처를  갖는 것은 디컴파일러 출력에서 많은 것을 개선할 수 있습니다.
예를 들어, `virtual IOMemoryMap * map(IOOptionBits options = 0 );`를   추가했다고 가정하면, Ghidra는 함수 정의와 함수 시그니처 모두에 대해 반환 값을 `IOMemoryMap` 포인터로 자동으로 다시 유형 지정합니다.
구문을 준수하여 **signatures/** 디렉토리에 C++ 심볼을 추가할 수 있으며, 이 디렉토리에서 정의된 함수 시그니처를 찾을 수 있습니다.```c++
// Defining an instance class method
IOMemoryDescriptor * withPersistentMemoryDescriptor(IOMemoryDescriptor *originalMD);

// Defining a virtual method, it must start with "virtual" keyword
virtual IOMemoryMap * createMappingInTask(task_t intoTask,  mach_vm_address_t atAddress,  IOOptionBits options,  mach_vm_size_t offset = 0,  mach_vm_size_t length = 0);

// Defining a structure
struct task_t;

// typedef'ing a type
typedef typedef uint IOOptionBits; 

// Lines begining with '//' are ignored