bincat

Введение

Что такое BinCAT?

BinCAT — это статический набор инструментов для анализа бинарного кода, предназначенный для помощи специалистам по реверс-инжинирингу, напрямую из IDA или с помощью Python для автоматизации.

Он предоставляет:

• анализ значений (регистров и памяти)
• анализ распространения меток (taint analysis)
• реконструкция и распространение типов
• обратный и прямой анализ
• обнаружение использования после освобождения и двойного освобождения

В действии

Вы можете посмотреть (более старую версию) BinCAT в действии здесь:

• Базовый анализ
• Использование маркировки данных

Ознакомьтесь с руководством, чтобы увидеть соответствующие задачи.

Краткие вопросы и ответы

Поддерживаемые хостовые платформы:

• Плагин IDA: все, версия 7.4 или новее (поддерживается только Python 3)
• анализатор (локально или удаленно): Linux, Windows, macOS (возможно)

Поддерживаемые процессоры для анализа (пока что):

• x86-32
• x86-64
• ARMv7
• ARMv8
• PowerPC

Установка

Поддерживается только IDA v7.4 или новее

Более старые версии могут работать, но мы не будем их поддерживать.

Установка из бинарного дистрибутива (рекомендуется)

Бинарный дистрибутив включает всё необходимое:

• анализатор
• плагин IDA

Шаги установки:

1. Извлеките бинарный дистрибутив BinCAT (не git-репозиторий)
2. В IDA нажмите меню "File -> Script File..." (или нажмите ALT-F7)
3. Выберите install_plugin.py
4. BinCAT теперь установлен в ваш каталог пользователя IDA
5. Перезапустите IDA

Ручная установка

Анализатор

Анализатор может использоваться локально или через веб-сервис.

На Linux:

• Используя Docker: Инструкции по установке Docker
• Вручную: инструкции по сборке и установке

На Windows:

• инструкции по сборке

Плагин IDA

• Установка вручную на Windows.
• Установка вручную на Linux

BinCAT должен работать с IDA на Wine после установки pip:

• загрузите https://bootstrap.pypa.io/get-pip.py (проверьте, что он хорош ;)
• ~/.wine/drive_c/Python/python.exe get-pip.py

Использование BinCAT

Быстрый старт

• Загрузите плагин, используя сочетание клавиш Ctrl-Shift-B или меню Edit -> Plugins -> BinCAT
• Перейдите к инструкции, с которой хотите начать анализ
• Выберите панель BinCAT Configuration, нажмите <-- Current, чтобы задать начальный адрес
• Запустите анализ

Конфигурация

Глобальные параметры можно настроить через меню Edit/BinCAT/Options.

Конфигурация и параметры по умолчанию хранятся в $IDAUSR/idabincat/conf.

Параметры

• "Use remote bincat": выберите, если вы запускаете bincat в контейнере Docker
• "Remote URL": http://localhost:5000 (или URL удаленного сервера BinCAT)
• "Autostart": автоматически загружать BinCAT при запуске IDA
• "Save to IDB": состояние по умолчанию для флажка save to idb

Документация

Предоставляется руководство, а здесь можно найти описание формата файла конфигурации.

Предоставляется учебное пособие, чтобы помочь вам попробовать возможности BinCAT.

Статьи и презентации о BinCAT

• SSTIC 2017, Ренн, Франция: статья (английский), слайды (французский), видео презентации (французский)
• REcon 2017, Монреаль, Канада: слайды, видео

Лицензии

BinCAT распространяется под лицензией GNU Affero General Public License.

Код BinCAT на OCaml включает код из оригинальной среды выполнения Ocaml, распространяемой под LGPLv2.

Плагин BinCAT для IDA содержит код из python-pyqt5-hexview от Willi Ballenthin, распространяемый под лицензией Apache 2.0.

BinCAT включает модифицированную копию newspeak.

Автоматические сборки

Автоматические сборки для Linux и Windows выполняются автоматически с помощью GitHub Actions (см. здесь), результаты можно получить на вкладке Actions GitHub.