Clone o código usando:

Se você clonou o código sem --recursive, execute git submodule update --init no diretório do ScratchABit.

O ScratchABit agora vem com plugin(s) de CPU baseado(s) no Capstone Engine, que permitem acesso a várias arquiteturas de CPU. Para usá-lo, o módulo de bindings Python recente para o Capstone deve estar instalado (de preferência aos pacotes fornecidos pelas distribuições do sistema, que geralmente estão desatualizados). A maneira mais fácil de instalá-lo é no diretório de pacotes do usuário do Python:

Uma alternativa é instalá-lo em um ambiente virtual Python dentro do diretório do ScratchABit:

Sempre que você abrir uma nova sessão de terminal para trabalhar com o ScratchABit, execute o comando source .venv/bin/activate novamente para ativar o ambiente virtual.

Se nada disso funcionar, você pode tentar instalar o pacote capstone a nível de sistema (não recomendado):

Início rápido

Se você deseja desmontar um arquivo em formato executável auto-descritivo (como ELF), basta passá-lo como argumento para ScratchABit.py. O repositório inclui vários arquivos example-*.elf para várias arquiteturas para um início rápido. Por exemplo, para testar a versão x86 32 bits:

Alternativamente, se você deseja desmontar um arquivo binário bruto, você precisa criar um arquivo .def (definição) para especificar quais áreas de memória estão definidas para o código, em qual endereço carregar o arquivo binário, etc. (Nota: um arquivo .def pode ser útil também para arquivos .elf e similares.) O repositório inclui um código binário bruto x86_64 simples, e o arquivo example-x86_64.def correspondente (veja dentro para descrição das opções disponíveis):

Pressione F9 para acessar menus (o mouse também funciona em terminais compatíveis com XTerm). Pressione F1 para obter ajuda sobre os atalhos do teclado (a maioria das ações também é acessível via menu). O fluxo de trabalho do ScratchABit é semelhante ao de outros desmontadores interativos (alguma experiência anterior ou leitura de fundo pode ser útil).

Usando Plugins

Plugins de processador IDAPython podem ser carregados de qualquer lugar no caminho de módulo do Python. Alternativamente, você pode criar um link simbólico/copiar o(s) arquivo(s) .py do plugin para o subdiretório plugins/cpu/.

Depois que o plugin estiver disponível, crie um novo arquivo de definição baseado em example-x86_64.def que defina o nome do módulo do plugin (sem a extensão .py) na linha cpu xxx.

Para um exemplo muito simples que usa um plugin externo, veja este arquivo esp8266.def que funciona com o plugin xtensa.py do repositório ida-xtensa2.

TODO/Coisas a decidir

• Atualmente usa vários arquivos para o "banco de dados", cada um armazenando um tipo particular de informação. Mudar para um único arquivo YAML?
• Adicionar cor (baixa prioridade, patches (não inflados!) são bem-vindos).
• Poucos comandos importantes da UI ainda para implementar para trabalho confortável. ( Todos os comandos mais importantes já devem estar lá, outras funcionalidades devem ser implementadas usando plugins).
• Oferecer para salvar o DB ao sair se modificado.
• Integração com Git para salvamento do DB.
• Melhorar robustez (adicionar tratador de exceções no nível do loop principal, não abortar a aplicação, mostrar ao usuário/log e continuar).
• Tentar lidar com inconsistências de fluxo de código (ex.: dentro de uma instrução - baixa prioridade para o uso pretendido) e inconsistências de acesso a dados (ex.: acessar bytes individuais de uma palavra previamente detectada - maior prioridade). (Melhorado na 1.4.)
• Ver como suportar outros tipos de plugins IDAPython além apenas de módulos de processador.
• Analisar e usar informações de depuração (ex.: DWARF) presentes em arquivos ELF (etc.).

FAQ

P: Quais processadores/arquiteturas são suportados?

R: O ScratchABit não suporta nenhuma arquitetura de processador por conta própria, ele é totalmente redirecionável usando plugins da API IDAPython. Muitos plugins estão disponíveis, escrever um novo plugin é fácil. Para permitir que os usuários testem o ScratchABit, um plugin simples de processador x86 está incluído na distribuição, usando o desmontador Pymsasid por baixo dos panos.

A partir da versão 2.0, o plugin Capstone também está incluído, permitindo acesso a várias arquiteturas, incluindo x86, ARM, MIPS, PowerPC, SPARC, etc. (o suporte a arquiteturas é ativado gradualmente com base em testes de usuários).

Você pode ler sobre os plugins fornecidos junto com o ScratchABit no README do diretório plugins/cpu/.

P: Depurador?

R: O ScratchABit é dedicado à análise estática e suporte fácil para novas arquiteturas de CPU (apenas codifique um novo plugin de CPU em Python - você pode obter resultados iniciais em algumas horas). A análise dinâmica não foi concebida como um recurso central e não há planos imediatos para implementá-la. Patches são bem-vindos, no entanto.

P: Descompilador?

R: Existe um projeto relacionado, chamado ScratchABlock para análise profunda de programas, transformação e descompilação. Espera-se que à medida que o ScratchABlock amadurecer, algumas de suas funcionalidades estarão disponíveis dentro do ScratchABit (talvez via plugins).

P: Não estou no Linux, como posso executar o ScratchABit?

R: Instale o Linux em um emulador/VM no seu sistema e alegre-se.

P: Captura de tela obrigatória?

R: Claro: