난독화 탐지

작성자: mcdulltii

자동으로 난독화된 코드 및 기타 상태 머신 탐지

설명:

바이너리에서 난독화된 코드와 상태 머신을 자동으로 탐지하는 스크립트입니다.

구현은 IDA 7.4+ (Python3)를 기반으로 합니다. Binary Ninja 구현에 대한 자세한 내용은 다음 블로그 게시물을 참조하세요:

• 제어 흐름 평탄화 자동 탐지
• 난독화된 코드 자동 탐지
• 참조 저장소

참고:

휴리스틱 값은 위 블로그 게시물을 기반으로 생성되며, (All Functions 모드에서 실행 시) 휴리스틱 복잡성에 따라 위에서 아래로 정렬됩니다.

바이너리 내에서 발견된 모든 함수의 지배자 트리를 플로팅하는 재귀적 특성으로 인해 구현 및 런타임 오버헤드가 크지만, 스레딩이 구현되었습니다.

PyQt를 사용하여 플러그인을 시각화하면 사용자가 바이너리에서 휴리스틱 함수 분석을 추가로 사용자 정의할 수 있습니다.

종속성 (Python3)

PyQt5

설치

obfDetect 디렉터리와 obfDetect.py를 IDA Plugins 디렉터리에 복사합니다.

IDA가 바이너리 로딩을 성공적으로 완료하면 스크립트가 IDC/Python 콘솔에 배너를 출력합니다.

스크립트는 아래와 같이 File 도구 모음을 통해 실행할 수 있습니다. 또는 Ctrl-Shift-H를 사용합니다.

기능

• 출력 테이블의 함수 이름은 n을 사용하여 이름을 바꿀 수 있으며, 그러면 해당 함수 주소로 지정된 IDA의 함수 이름이 업데이트됩니다.

• 내보내기 파일 이름 입력 상자를 클릭하면 파일 선택 팝업이 열리며, 사용자 정의 저장 위치로 이동할 수 있습니다.

사용법

1. 휴리스틱 함수 선택
2. 휴리스틱 함수를 실행할 바이너리 함수의 번호/주소 선택
3. (선택 사항) 최대 노드 크기로 바이너리 함수 필터링
4. Run 버튼을 클릭하여 분석 시작
5. (선택 사항) Export filename 입력 상자를 클릭하여 내보내기 위치를 선택하고, Export 버튼을 클릭하여 테이블을 csv 형식으로 내보냅니다.

스크린샷

• 기본 GUI 선택

• 휴리스틱 GUI 분석

• 단일 함수 휴리스틱 GUI 분석

할 일

• QTableWidget 선택 항목 내보내기