• Visão geral
  • Requisitos
  • Recursos
  • Scripts
• Uso
  • Simular sem executar
  • Análise inicial
  • Executar script IDA Python
  • Diff binário
    • Requisitos
    • Análise inicial
    • Diff de arquivos
    • Diff de uma função
  • Filtros
    • Detecção de arquitetura
    • Específico por alvo
• Projetos conhecidos que usam o idahunt

Visão geral

idahunt é um framework para analisar binários com o IDA Pro e caçar coisas no IDA Pro. É uma ferramenta de linha de comando para analisar todos os arquivos executáveis recursivamente a partir de uma pasta fornecida. Ele executa o IDA em segundo plano para que você não precise abrir cada arquivo manualmente. Ele suporta a execução de scripts externos de IDA Python.

Requisitos

• Apenas Python3 (exceto scripts IDA Python, que podem ser Python2/Python3 dependendo da sua configuração do IDA)
• IDA Pro
• Windows, Linux, OS X

Recursos

• Especifique quantas instâncias do IDA você deseja executar simultaneamente
• Automatize a criação de IDBs para múltiplos executáveis
• Execute scripts IDA Python em múltiplos executáveis
• Abra múltiplos IDBs existentes
• Suporte a qualquer formato binário (assembly puro/PE/ELF/MACH-O/etc.) suportado pelo IDA
• (Opcional) Inclua helpers de IDA Python. Você pode usá-los para construir facilmente seus próprios scripts IDA Python ou pode usar qualquer outra biblioteca IDA Python como sark ou bip para citar algumas

Exemplos úteis incluem (lista não exaustiva):

• Analisar atualizações da Patch Tuesday da Microsoft
• Analisar malwares da mesma família
• Analisar múltiplas versões do mesmo software
• Analisar um conjunto de binários (UEFI, HP iLO, roteador Cisco IOS, firewall Cisco ASA, etc.)

Scripts

As capacidades dos scripts IDA Python são ilimitadas. Você pode importar qualquer script IDA Python existente ou criar o seu próprio. Alguns exemplos:

• Renomear funções com base em strings de depuração
• Descriptografar strings (ex.: malware)
• Procurar o mesmo símbolo em múltiplas versões (usando heurísticas)
• Procurar gadgets ROP
• Portar nomes/símbolos de funções revertidas de uma versão para outra usando ferramentas como diaphora
• Etc.

Uso

• idahunt.py: ferramenta principal para analisar arquivos executáveis
• filters/: contém filtros básicos para decidir quais arquivos em um diretório de entrada analisar com o IDA
  • filters/default.py: filtro básico padrão que não filtra nada e é usado por padrão
  • filters/ciscoasa.py: útil para analisar imagens do firewall Cisco ASA
  • filters/hpilo.py: útil para analisar imagens de HP iLO
  • filters/names.py: filtro básico baseado em nome, tamanho do nome ou extensão
• script_template.py: contém um script IDA Python hello world

C:\idahunt> C:\Python37-x64\python.exe .\idahunt.py -h
usage: idahunt.py [-h] [--inputdir INPUTDIR] [--analyse] [--open]
                  [--ida-args IDA_ARGS] [--scripts SCRIPTS [SCRIPTS ...]]
                  [--filter FILTER] [--cleanup] [--temp-cleanup] [--verbose]
                  [--max-ida MAX_IDA] [--list-only] [--version IDA_VERSION]

optional arguments:
  -h, --help            show this help message and exit
  --inputdir INPUTDIR   Input folder to search for files
  --analyse, --analyze  analyse all files i.e. create .idb for all of them
  --open                open all files into IDA (debug only)
  --ida-args IDA_ARGS   Additional arguments to pass to IDA (e.g.
                        -p<processor> -i<entry_point> -b<load_addr>)
  --scripts SCRIPTS [SCRIPTS ...]
                        List of IDA Python scripts to execute in this order
  --filter FILTER       External python script with optional arguments
                        defining a filter for the names of the files to
                        analyse. See filters/names.py for example
  --cleanup             Cleanup i.e. remove .asm files that we don't need
  --temp-cleanup        Cleanup temporary database files i.e. remove .id0,
                        .id1, .id2, .nam, .dmp files if IDA Pro crashed and
                        did not delete them
  --verbose             be more verbose to debug script
  --max-ida MAX_IDA     Maximum number of instances of IDA to run at a time
                        (default: 10)
  --list-only           List only what files would be handled without
                        executing IDA
  --version IDA_VERSION
                        Override IDA version (e.g. "7.5"). This is used to
                        find the path of IDA on Windows.

Simular sem executar

Você pode usar --list-only com qualquer linha de comando para apenas listar o que a ferramenta faria sem realmente fazer.

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v" --list-only
[idahunt] Simulating only...
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe

Análise inicial

Aqui iniciamos uma análise inicial. Ela termina após alguns segundos:

C:\idahunt>idahunt.py --inputdir C:\re --analyse --filter "filters\names.py -a 32 -v"
[idahunt] ANALYSING FILES
[idahunt] Analysing C:\re\cves\cve-2014-4076.dll
[idahunt] Analysing C:\re\cves\cve-2014-4076.exe
[idahunt] Analysing C:\re\DownloadExecute.exe
[idahunt] Analysing C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Aqui limpamos os arquivos temporários .asm criados pela análise inicial:

C:\idahunt>idahunt.py --inputdir C:\re --cleanup
[idahunt] Deleting C:\re\cves\cve-2014-4076.asm
[idahunt] Deleting C:\re\DownloadExecute.asm
[idahunt] Deleting C:\re\ReverseShell.asm

Podemos ver o .idb gerado, bem como alguns arquivos .log que contêm a janela de saída do IDA Pro.

C:\idahunt>tree /f C:\re
Folder PATH listing
Volume serial number is XXXX-XXXX
C:\RE
│   DownloadExecute.exe
│   DownloadExecute.idb
│   DownloadExecute.log
│   ReverseShell.exe
│   ReverseShell.idb
│   ReverseShell.log
│
└───cves
        cve-2014-4076.dll
        cve-2014-4076.exe
        cve-2014-4076.idb
        cve-2014-4076.log

Executar script IDA Python

Aqui executamos um script IDA Python básico que imprime [script_template] I execute in IDA, yay! na janela de saída do IDA Pro.

C:\idahunt>idahunt.py --inputdir C:\re --filter "filters\names.py -a 32 -v" --scripts C:\idahunt\script_template.py
[idahunt] EXECUTE SCRIPTS
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.dll
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\cves\cve-2014-4076.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\DownloadExecute.exe
[idahunt] Executing script C:\idahunt\script_template.py for C:\re\ReverseShell.exe
[idahunt] Waiting on remaining 4 IDA instances

Como é salvo no arquivo .log, podemos verificar que foi executado com sucesso:

Autoanalysis subsystem has been initialized.
Database for file 'ReverseShell.exe' has been loaded.
Compiling file 'C:\Program Files (x86)\IDA 6.95\idc\ida.idc'...
Executing function 'main'...
[script_template] I execute in IDA, yay!

Diff binário