Módulo Ghidra EVM

Nos últimos anos, ataques a contratos inteligentes implantados na blockchain Ethereum resultaram em uma quantidade significativa de fundos roubados devido a erros de programação. Como os contratos inteligentes, uma vez compilados e implantados, são complexos de modificar e atualizar, diferentes profissionais sugeriram a importância de revisar sua segurança na blockchain onde apenas o bytecode da Ethereum Virtual Machine (EVM) está disponível. Nesse sentido, a engenharia reversa por meio de desmontagem e descompilação pode ser eficaz.

ghidra-EVM é um módulo Ghidra para engenharia reversa de contratos inteligentes. Ele pode ser usado para baixar o bytecode da Ethereum Virtual Machine (EVM) da blockchain Ethereum e desmontar e descompilar o contrato inteligente. Além disso, pode analisar o código de criação, encontrar métodos de contrato e localizar instruções inseguras.

Ele compreende um módulo de processador, carregador personalizado e plugin(s) que desmonta o bytecode da Ethereum VM (EVM) e gera um grafo de fluxo de controle (CFG) de um contrato inteligente.

A última versão usa a API Ghidra 9.1.2. Ela depende da biblioteca crytic evm_cfg_builder (https://github.com/crytic/evm_cfg_builder) para auxiliar o Ghidra no processo de geração de CFG.

Ghidra-evm consiste em:

• Um carregador que lê código byte e hex de arquivos .evm e .evm_h, respectivamente (Veja exemplos).
• A definição SLEIGH do conjunto de instruções EVM levando em conta as limitações do núcleo do Ghidra (Veja Notas).
• Um script auxiliar que usa evm_cfg_builder e ghidra_bridge para auxiliar o Ghidra na geração do CFG e exploração das propriedades de funções de um contrato inteligente.
• Uma coleção de scripts que ajudam na engenharia reversa de diferentes aspectos de um contrato inteligente:

Instruções de instalação

• Instale o ghidra_bridge, seguindo as instruções em https://github.com/justfoxing/ghidra_bridge
• Instale a biblioteca crytic evm_cfg_builder, seguindo as instruções em https://github.com/crytic/evm_cfg_builder
• Instale o último arquivo de release do ghidra-evm em ghidra_evm/dist/:
  • Abra o ghidra
  • Arquivo -> Instalar Extensões
  • Clique em '+' e selecione o arquivo zip, ex.: ghidra_9.1.2_PUBLIC_20201102_ghidra_evm.zip
  • Clique em OK
  • Reinicie o Ghidra

Instruções de compilação

O conteúdo do diretório ghidra-evm pode ser usado para criar um módulo Ghidra no Eclipse com processador e carregador, a fim de estender ou depurar ghidra_evm.

Tutoriais

Integração com ferramentas externas de execução simbólica

Notas

• O CFG é criado de acordo com o evm_cfg_builder: instruções JUMP e JUMPI são utilizadas.
• Uma tabela de jump de 32x32 (evm_jump_table) é gerada de acordo, a fim de detectar e mostrar ramificações nas janelas de desmontagem e fluxo de controle.
• Ghidra não foi projetado para lidar com arquiteturas e memórias de tamanho de palavra > 64 bits. Isso significa que instruções como PUSH32 não são exibidas corretamente na janela de descompilação.

Licença

Ghidra-evm é licenciado e distribuído sob a AGPLv3.

Agradecimentos

• Este trabalho foi apoiado pela Comissão Europeia através do Projeto M-Sec do Programa H2020 sob a Bolsa 814917.
• O Ghidra-EVM foi apresentado na trilha de arsenal do Black Hat Asia 2021. Você pode encontrar os slides aqui.