mfthomps/resim전체 시스템 시뮬레이터를 사용한 리버스 엔지니어링 소프트웨어
RESim은 네트워크로 연결된 컴퓨터 내의 프로세스, 프로그램 및 데이터 흐름에 대한 상세한 통찰력을 제공하는 동적 시스템 분석 도구입니다. RESim은 Simics 플랫폼의 프로세서, 주변 장치(예: 네트워크 인터페이스 카드) 및 디스크의 고충실도 모델을 사용하여 컴퓨터 네트워크를 시뮬레이션합니다. 네트워크 컴퓨터 플랫폼 모델은 시뮬레이션 중인 물리적 시스템에서 추출된 이미지로부터 복사된 대상 소프트웨어를 로드하고 실행합니다.
RESim은 프로세스가 실행하는 프로그램과 소비하는 데이터 측면에서 프로세스를 인벤토리화하여 Linux 기반 및 Windows 시스템 네트워크의 리버스 엔지니어링 및 취약점 분석을 지원합니다. 데이터 소스에는 파일, 장치 인터페이스 및 프로세스 간 통신 메커니즘이 포함됩니다. 프로세스 실행 및 데이터 소비는 시뮬레이션된 시스템에 소프트웨어를 설치하거나 주입하지 않고, 프로세스를 호스팅하는 커널에 대한 상세한 지식 없이 실행 중인 시뮬레이션 시스템의 동적 분석을 통해 문서화됩니다.
RESim은 또한 IDA Pro 및 Ghidra 디스어셈블러/디버거에 대한 플러그인을 통해 개별 실행 중인 프로그램에 대한 대화형 가시성을 제공합니다. 디스어셈블러/디버거를 사용하면 미래 시간 또는 과거 시간[2]의 선택된 이벤트에서 시뮬레이션을 일시 중지하기 위해 중단점을 설정할 수 있습니다. 예를 들어, RESim은 시뮬레이션 상태를 선택된 메모리 주소의 가장 최근 수정 시점까지 되돌리도록 지시할 수 있습니다. 다시 로드 가능한 체크포인트는 시스템 실행 중 언제든지 생성될 수 있습니다. RESim 시뮬레이션은 예를 들어 지정된 프로세스가 실행 예약될 때 검사를 위해 일시 중지될 수 있으며, 이후 메모리 또는 레지스터 상태가 변경된 상태로 계속될 수 있습니다. 분석가는 명시적으로 메모리 또는 레지스터 내용을 수정할 수 있으며, 시스템 이벤트에 기반하여 메모리를 동적으로 보강할 수도 있습니다(예: su 프로그램이 읽을 때 암호 파일 항목 변경).
분석은 셸, 소프트웨어 주입 또는 커널 심볼 테이블 없이 시뮬레이션된 대상 시스템의 메모리 및 프로세서 상태 관찰을 통해 전적으로 수행됩니다. 이 분석은 관찰 기능이 시뮬레이션된 시스템의 상태에 영향을 미치지 않기 때문에 *외부적(external)*이라고 합니다.
RESim은 American Fuzzing Lop(AFL) 퍼저와 통합되었습니다. 이 퍼징 시스템은 퍼즈된 데이터를 애플리케이션 읽기 버퍼에 직접 주입하여 퍼징 설정 및 워크플로우를 단순화합니다. RESim은 감지된 충돌을 자동으로 재생 및 분석하여 충돌 원인(예: 실행 제어 손상)을 식별합니다.
추가 정보는 RESim 사용자 가이드를 참조하십시오. RESim의 간단한 데모는 여기에서 볼 수 있습니다: (https://nps.box.com/s/rf3n104ualg38pon6b7fm6m6wqk9zz50)
예제 디스크 이미지는 이 readme에 설명되어 있습니다.
RESim은 DARPA Cyber Grand Challenge를 위해 생성된 소프트웨어 심사 및 포렌식 분석 플랫폼에서 파생되었습니다. 해당 저장소는 여기에 있습니다: https://github.com/mfthomps/cgc-monitor. 해당 작업을 설명하는 논문은 https://www.sciencedirect.com/science/article/pii/S1742287618301920 에 있습니다. 그리고 CGC Monitor에서 Simics 사용에 대한 훌륭한 요약은 https://software.intel.com/content/www/us/en/develop/blogs/simics-software-automates-cyber-grand-challenge-validation.html 에 있습니다.
[1]Simics는 Intel에서 개발한 전체 시스템 시뮬레이터로, 모든 관련 상표권을 보유하고 있습니다. [2]Simics 7은 "역방향 실행"을 더 이상 사용하지 않지만( deprecated), RESim이 이를 다시 추가합니다.
This software was created by United States Government employees
and may not be copyrighted.
Redistribution and use in source and binary forms, with or without
modification, are permitted provided that the following conditions
are met:
1. Redistributions of source code must retain the above copyright
notice, this list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright
notice, this list of conditions and the following disclaimer in the
documentation and/or other materials provided with the distribution.
THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
DISCLAIMED. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT,
INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN
ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGE.