bincat

Introdução

O que é o BinCAT?

BinCAT é um kit de ferramentas de Análise Estática de Código Binário, projetado para ajudar engenheiros reversos, diretamente do IDA ou usando Python para automação.

Ele apresenta:

• análise de valor (registradores e memória)
• análise de taint
• reconstrução e propagação de tipos
• análise backward e forward
• detecção de use-after-free e double-free

Em ação

Você pode ver (uma versão mais antiga do) BinCAT em ação aqui:

• Basic analysis
• Using data tainting

Consulte o tutorial para ver as tarefas correspondentes.

FAQ Rápida

Plataformas suportadas:

• Plug-in IDA: todas, versão 7.4 ou posterior (apenas Python 3 é suportado)
• analisador (local ou remoto): Linux, Windows, macOS (talvez)

CPUs suportadas para análise (por enquanto):

• x86-32
• x86-64
• ARMv7
• ARMv8
• PowerPC

Instalação

Apenas IDA v7.4 ou posterior é suportado

Versões mais antigas podem funcionar, mas não ofereceremos suporte.

Instalação da distribuição binária (recomendada)

A distribuição binária inclui tudo o que é necessário:

• o analisador
• o plug-in IDA

Passos da instalação:

• Extraia a distribuição binária do BinCAT (não o repositório git)
• No IDA, clique no menu "File -> Script File..." (ou digite ALT-F7)
• Selecione install_plugin.py
• BinCAT está agora instalado no seu diretório de usuário do IDA
• Reinicie o IDA

Instalação manual

Analisador

O analisador pode ser usado localmente ou através de um serviço Web.

No Linux:

• Usando Docker: instruções de instalação do Docker
• Manual: instruções de compilação e instalação

No Windows:

• instruções de compilação

Plug-in IDA

• Instalação manual no Windows.
• Instalação manual no Linux

BinCAT deve funcionar com IDA no Wine, uma vez que o pip esteja instalado:

• baixe https://bootstrap.pypa.io/get-pip.py (verifique se é bom ;)
• ~/.wine/drive_c/Python/python.exe get-pip.py

Usando BinCAT

Início rápido

• Carregue o plug-in usando o atalho Ctrl-Shift-B, ou usando o menu Edit -> Plugins -> BinCAT

• Vá até a instrução onde deseja iniciar a análise

• Selecione o painel BinCAT Configuration, clique em <-- Current para definir o endereço inicial

• Inicie a análise

Configuração

Opções globais podem ser configuradas através do menu Edit/BinCAT/Options.

Configuração e opções padrão são armazenadas em $IDAUSR/idabincat/conf.

Opções

• "Usar bincat remoto": selecione se você está executando o docker em um contêiner Docker
• "URL remota": http://localhost:5000 (ou a URL de um servidor BinCAT remoto)
• "Início automático": carregar BinCAT automaticamente na inicialização do IDA
• "Salvar no IDB": estado padrão para a caixa de seleção save to idb

Documentação

Um manual é fornecido e verifique aqui para uma descrição do formato do arquivo de configuração.

Um tutorial é fornecido para ajudá-lo a experimentar os recursos do BinCAT.

Artigo e apresentações sobre BinCAT

• SSTIC 2017, Rennes, França: artigo (inglês), slides (francês), vídeo da apresentação (francês)
• REcon 2017, Montreal, Canadá: slides, vídeo

Licenças

BinCAT é lançado sob a GNU Affero General Public Licence.

O código OCaml do BinCAT inclui código do runtime original do Ocaml, lançado sob a LGPLv2.

O plug-in IDA do BinCAT inclui código do python-pyqt5-hexview por Willi Ballenthin, lançado sob a Apache License 2.0.

BinCAT inclui uma cópia modificada do newspeak.

Builds automatizadas

Builds automatizadas para Linux e Windows são realizadas automaticamente usando GitHub Actions (veja aqui), os resultados podem ser obtidos na aba Actions do GitHub.