HexRaysCodeXplorer

| | | | | ___ \ / __ \ | | \ \ / / | |
| || | _____ | |/ /__ _ _ _ | / / ___ | | ___ \ V / _ __ | | ___ _ __ ___ _ __ | _ |/ _ \ / / // | | | / __| | / _ \ / _ |/ _ / | ' | |/ _ | '/ _ \ '| | | | | __/> <| |\ \ (| | || __ \ _/\ () | (| | __/ /^\ \ |) | | () | | | __/ |
_| |/_//__| __,|_, |/_/_/ _,|_/ / ./||___/|| ___||
/ | | |
|/ |_|

O plugin do Decompilador Hex-Rays para melhor navegação de código no processo de RE. O CodeXplorer automatiza a REconstrução de código de aplicações C++ ou malware moderno como Stuxnet, Flame, Equation, Animal Farm... :octocat:

O plugin CodeXplorer é um dos primeiros disponíveis publicamente plugins do Decompilador Hex-Rays. Mantemos este projeto atualizado desde o verão de 2013 e continuamos contribuindo com novas funcionalidades frequentemente. Além disso, os recursos mais interessantes do CodeXplorer foram apresentados em inúmeras conferências de segurança como: REcon, ZeroNights, H2HC, NSEC e BHUS 👾

Contribuidores:

Alex Matrosov (@matrosov)

Eugene Rodionov (@rodionov)

Rodrigo Branco (@rrbranco)

Gabriel Barbosa (@gabrielnb)

Versões suportadas dos produtos Hex-Rays: sempre focamos nas últimas versões do IDA e do Decompilador porque tentamos usar novos recursos interessantes nos novos lançamentos do SDK. Isso também significa que testamos apenas nas últimas versões dos produtos Hex-Rays e não garantimos funcionamento estável em versões anteriores.

Por que não IdaPython: todo o código é desenvolvido em C/C++ porque é uma forma mais estável de suportar um plugin complexo para o Decompilador Hex-Rays.

Plataformas suportadas: x86/x64 para Win, Linux e Mac.

HexRaysCodeXplorer - Plugin do Decompilador Hex-Rays para navegação de código mais fácil. O menu de contexto com clique direito na janela Pseudocode mostra os comandos do plugin CodeXplorer:

💎 Aqui estão os principais recursos do plugin CodeXplorer: 💎

• Reconstrução automática de tipo para objetos C++. Para reconstruir um tipo usando o HexRaysCodeXplorer, é necessário selecionar a variável que contém o ponteiro para a instância de código independente de posição ou para um objeto e, com clique direito do mouse, selecionar no menu de contexto a opção «REconstruct Type»:

A estrutura reconstruída é exibida na "Janela de saída". Informações detalhadas sobre o recurso de Reconstrução de tipo são fornecidas na postagem do blog "Type REconstruction in HexRaysCodeXplorer".

O plugin CodeXplorer também suporta a reconstrução automática de tipo no armazenamento de tipos locais do IDA.

• Identificação de tabela de funções virtuais - identifica automaticamente referências a tabelas de funções virtuais durante a reconstrução de tipo. Quando uma referência a uma tabela de funções virtuais é identificada, o plugin gera uma estrutura C correspondente. Como mostrado abaixo, durante a reconstrução de struct_local_data_storage, duas tabelas de funções virtuais foram identificadas e, como resultado, duas estruturas correspondentes foram geradas: struct_local_data_storage_VTABLE_0 e struct_local_data_storage_VTABLE_4.

• Visualização do grafo C-tree – uma estrutura especial em forma de árvore representando uma rotina descompilada em termos citem_t (hexrays.hpp). Recurso útil para entender como o descompilador funciona. O nó do grafo destacado corresponde à posição atual do cursor na janela Pseudocode do HexRays:

• Visualização do Item Ctree – mostra a representação ctree do elemento destacado:

• Extrair Ctrees para Arquivo – despeja o hash SHA1 calculado e despeja todos os ctrees para um arquivo.

• Extrair Tipos para Arquivo – despeja todas as informações de tipo (incluindo tipos reconstruídos) para um arquivo.

• Navegação por chamadas de funções virtuais na janela Pseudocode do HexRays. Após representar objetos C++ com estruturas C, esse recurso possibilita navegar com clique do mouse para as chamadas de funções virtuais como campos da estrutura:

• Saltar para Disasm - pequeno recurso para navegar para o código assembly na "Janela IDA View" a partir da posição atual da linha no Pseudocode. Ajuda a encontrar um local no código assembly associado à linha descompilada.

• Object Explorer – interface útil para navegação por estruturas de tabelas virtuais (VTBL). O Object Explorer exibe informações da VTBL em uma janela de visualização personalizada do IDA. A janela de saída é exibida escolhendo a opção «Object Explorer» no menu de contexto com clique direito do mouse:

O Object Explorer oferece suporte aos seguintes recursos:

• Geração automática de estruturas para VTBL nos tipos locais do IDA

• Navegação na lista de tabelas virtuais e salto para o endereço da VTBL na janela "IDA View" com clique

• Mostrar dicas para a posição atual na lista de tabelas virtuais

• Mostra lista de referências cruzadas com clique no menu "Show XREFS to VTBL"

• Suporte à análise automática de objetos RTTI:

O modo Batch contém os seguintes recursos:

• Modo batch - recurso útil para usar o CodeXplorer no processamento de vários arquivos sem qualquer interação do usuário. Adicionamos este recurso após a pesquisa do Black Hat em 2015 para processar 2 milhões de amostras.

Example (dump types and ctrees for functions with name prefix "crypto_"):
idaq.exe -OHexRaysCodeXplorer:dump_types:dump_ctrees:CRYPTOcrypto_path_to_idb

Compilação:

Windows:

• Abra a solução no Visual Studio
• Abra o arquivo src/HexRaysCodeXplorer/PropertySheet.props no notepad(++) e atualize os valores das variáveis IDADIR e IDASDK para apontar para o caminho de instalação do IDA e o caminho do SDK IDA7, respectivamente. O HexRays SDK deve estar em $IDADIR\plugins\hexrays_sdk (como por padrão)
• Compile as configurações Release | x64 e Release x64 | x64

Linux:

• cd src/HexRaysCodeXplorer/
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> EA64=0 make -f makefile.lnx
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> EA64=0 make -f makefile.lnx install

Mac:

• cd src/HexRaysCodeXplorer/
• IDA_DIR=<PATH_TO_IDA> IDA_SDK=<PATH_TO_IDA_SDK> make -f makefile.mac
• O makefile do Mac pode precisar de algumas edições manuais, pull requests são bem-vindos!
• A extensão de arquivo .pmc do IDA 7.0 deve ser .dylib
• bash$ export IDA_DIR="/Applications/IDA\ Pro\ 7.0/ida.app/Contents/MacOS" && export IDA_SDK="/Applications/IDA\ Pro\ 7.0/ida.app/Contents/MacOS/idasdk" && make -f makefile7.mac
• Ou abra o projeto no Xcode HexRaysCodeXplorer.xcodeproj

Com CMake:

• cd src/HexRaysCodeXplorer/
• mkdir build && cd build
• cmake .. -DIdaSdk_ROOT_DIR=<PATH_TO_IDA_SDK> -DHexRaysSdk_ROOT_DIR=<PATH_TO_HEXRAYS_SDK>
• cmake --build . --config Release

============================================================================

Palestras em conferências sobre o plugin CodeXplorer:

• 2015
• "Distributing the REconstruction of High-Level IR for Large Scale Malware Analysis", BHUS [slides]
• "Object Oriented Code RE with HexraysCodeXplorer", NSEC [slides]
• 2014
• "HexRaysCodeXplorer: object oriented RE for fun and profit", H2HC [slides]
• 2013
• "HexRaysCodeXplorer: make object-oriented RE easier", ZeroNights [slides]
• "Reconstructing Gapz: Position-Independent Code Analysis Problem", REcon [slides]