rhabdomancer

"通往可利用漏洞的道路由不可利用漏洞铺就。"

-- Mark Dowd

Rhabdomancer 是一款极快的 IDA 无头插件，用于定位二进制文件中调用潜在不安全 API 函数的位置。审计人员可以从这些候选点回溯，以找到允许访问不可信输入的路径。

Features

• 借助 IDA 9.x 和 idalib-rs Rust 绑定，提供极速无头用户体验。
• 支持针对 IDA 所支持的任意架构编译的 C/C++ 二进制目标。
• 危险 API 函数调用位置会输出到 stdout，并在 IDB 中标记。
• 已知危险 API 函数按风险等级分组，以帮助确定审计工作的优先级。
  • [BAD 0] 高优先级——通常被认为不安全的函数。
  • [BAD 1] 中优先级——应检查是否存在不安全用例的值得关注的函数。
  • [BAD 2] 低优先级——涉及这些函数的代码路径应仔细检查。
• 可以通过编辑 conf/rhabdomancer.toml 轻松自定义已知危险 API 函数列表。

Articles

• https://hex-rays.com/blog/streamlining-vulnerability-research-idalib-rust-bindings
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-ida-pro-and-rust

See also

• https://github.com/0xdea/ghidra-scripts/blob/main/Rhabdomancer.java
• https://docs.hex-rays.com/release-notes/9_0#headless-processing-with-idalib
• https://github.com/idalib-rs/idalib
• https://books.google.it/books/about/The_Art_of_Software_Security_Assessment.html

Installing

获取最新版本最简单的方式是通过 crates.io：

1. 下载、安装并配置 IDA（参见 https://hex-rays.com/ida-pro）。
2. 安装 LLVM/Clang（参见 https://rust-lang.github.io/rust-bindgen/requirements.html）。
3. 在 Linux/macOS 上，按如下方式安装：
   root@kitploit:~

   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo install rhabdomancer
   

   在 Windows 上，请改用以下命令：
   root@kitploit:~

   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo install rhabdomancer
   

Compiling

或者，你也可以从源代码构建：

1. 下载、安装并配置 IDA（参见 https://hex-rays.com/ida-pro）。
2. 安装 LLVM/Clang（参见 https://rust-lang.github.io/rust-bindgen/requirements.html）。
3. 在 Linux/macOS 上，按如下方式编译：
   root@kitploit:~

   git clone --depth 1 https://github.com/0xdea/rhabdomancer
   cd rhabdomancer
   export IDADIR=/path/to/ida # if not set, the build script will check common locations
   cargo build --release
   

   在 Windows 上，请改用以下命令：
   root@kitploit:~

   git clone --depth 1 https://github.com/0xdea/rhabdomancer
   cd rhabdomancer
   $env:LIBCLANG_PATH="\path\to\clang+llvm\bin"
   $env:PATH="\path\to\ida;$env:PATH"
   $env:IDADIR="\path\to\ida" # if not set, the build script will check common locations
   cargo build --release
   

Usage

1. 确保 IDA 已使用有效许可证正确配置。
2. 如有需要，自定义 conf/rhabdomancer.toml 中的已知危险 API 函数列表。你可以通过设置 RHABDOMANCER_CONFIG 环境变量来覆盖默认配置文件位置。
3. 如果你的 IDA 安装在非标准位置，请确保设置了 IDADIR 环境变量。
4. 按如下方式运行：
   root@kitploit:~

   rhabdomancer <binary_file>
   

   任何现有的 .i64 IDB 文件都将被更新；否则，将创建一个新的 IDB 文件。
5. 使用 IDA 打开生成的 .i64 IDB 文件。
6. 选择 View > Open subviews > Bookmarks
7. 尽情享受将结果便捷地收集到 IDA 窗口中的乐趣。

[!NOTE] Rhabdomancer 还会在标记的调用位置添加注释。

Compatibility

官方仅支持最新的 IDA 版本，但旧版本也可能正常工作。下表总结了每个 IDA 版本对应的最新兼容版本：

[!NOTE] 有关更多信息，请参阅 idalib-rs 文档。

Credits

本项目的开发得到了以下组织的支持：

• HN Security
• Hex-Rays 通过其贡献者计划

Changelog

• CHANGELOG.md

待办事项

• 进一步丰富已知危险 API 函数列表（参见 https://github.com/0xdea/semgrep-rules）。
• 考虑扩大 normalize_name 中规范化的范围，以涵盖更多情况。
• 实现一套基于 VulFi 和 VulnFanatic 风格的基础规则集。