搜索

[16235] 2020-12-22_Binbloom：一款针对二进制源码的固件分析软件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-22_Binbloom：一款针对二进制源码的固件分析软件 B i n b l o o m ： 一 款 针 对 二 进 制 源 码 的 固 件 分 析 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 2 2 B i n b l o o m B i n b l o o m 是 一 款 针 对 二 进 制 源 码 的 固 件 分 析 软 件 ， 该 工 具 旨 在 帮 助 广 大 研 究 人 员 分 析 固 件 的 二 进 制 源 码 ， 并 自 动 化 判 断 目 标 固 件 中 的 某 些 功 能 特 性 。 该 工 具 兼 容 所 有 常 见 的 系 统 架 构 ， 因 为 该 工 具 只 会 对 目 标 固 件 进 行 简 单 的 特 性 统 计 。 为 了 计 算 出 加 载 地 址 ， 在 使 用 B i n b l o o m 之 前 ， 我 们 还 需 要 一 些 外 部 逆 向 工 程 分 析 工 具 来 帮 助 我 们 提 取 目 标 固 件 中 的 潜 在 函 数 列 表 。 功 能 特 性 功 能 特 性 加 载 地 址 ： B i n b l o o m 可 以 解 析 原 始 二 进 制 固 件 并 确 定 其 加 载 地 址 。 字 节 顺 序 ： B i n b l o o m 可 以 使 用 一 些 启 发 式 算 法 来 确 定 目 标 固 件 的 字 节 顺 序 。 U D S 数 据 库 ： B i n b l o o m 可 以 解 析 原 始 二 进 制 固 件 ， 并 检 查 它 是 否 存 在 有 包 含 U D S 命 令 i d 的 数 组 。 工 具 下 载 工 具 下 载 / 安 装 安 装 首 先 ， 广 大 研 究 人 员 需 要 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 接 下 来 ， 使 用 下 列 命 令 构 建 最 新 版 本 的 B i n b l o o m ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / q u a r k s l a b / b i n b l o o m . g i t c d   b i n b l o o m m k d i r   b u i l d c d   b u i l d
最 后 ， 使 用 下 列 命 令 安 装 最 新 版 本 的 B i n b l o o m （ 仅 支 持 L i n u x 系 统 ） ： 工 具 使 用 工 具 使 用 判 断 字 节 顺 序 ： 判 断 字 节 顺 序 ： 运 行 上 述 命 令 后 ， B i n b l o o m 将 返 回 下 列 的 输 出 数 据 ： 在 上 述 输 出 数 据 中 ， 最 后 一 行 才 是 最 重 要 的 一 行 ， 因 为 它 给 出 的 是 最 终 的 分 析 结 果 。 其 他 几 行 代 表 的 是 B i n b l o o m 在 目 标 固 件 中 ， 无 论 是 在 大 端 模 式 下 还 是 小 端 模 式 下 能 够 找 到 的 唯 一 指 针 的 数 量 和 数 组 元 素 的 数 量 ， 而 这 些 信 息 可 以 用 来 帮 助 确 定 工 具 在 确 定 字 节 顺 序 时 所 要 使 用 的 启 发 式 方 法 。 c d   b u i l d c m a k e   . . m a k e m a k e   i n s t a l l b i n b l o o m   - f   f i r m w a r e . b i n   - e L o a d e d   f i r m w a r e . b i n ,   s i z e : 6 2 4 1 2 8 ,   b i t : f f f 0 0 0 0 0 ,   0 0 0 f f f f f ,   n b _ s e g m e n t s : 4 0 9 6 ,   s h i f t : 2 0 E n d   a d d r e s s : 0 0 0 9 8 6 0 0 D e t e r m i n i n g   t h e   e n d i a n n e s s C o m p u t i n g   h e u r i s t i c s   i n   b i g   e n d i a n   o r d e r : B a s e :   0 0 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 1 8 3 9 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 2 1 7 9 0 0 B a s e :   0 1 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 1 3 4 3 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 1 3 0 8 5 B a s e :   0 2 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 6 2 1 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 5 7 3 5 B a s e :   0 3 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 5 6 6 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 3 8 2 3 B a s e :   0 5 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 5 7 5 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 6 1 3 9 B a s e :   8 0 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 6 4 2 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 5 2 8 2 4 7 2 1 0 C o m p u t i n g   s c o r e   i n   l i t t l e   e n d i a n   o r d e r : B a s e :   0 0 0 0 0 0 0 0 :   u n i q u e   p o i n t e r s : 8 3 0 9 ,   n u m b e r   o f   a r r a y   e l e m e n t s : 5 1 5 4 0 4 5 1 5 4 0 4 T h i s   f i r m w a r e   s e e m s   t o   b e   L I T T L E   E N D I A N
判 断 加 载 地 址 判 断 加 载 地 址 首 先 ， 我 们 需 要 提 供 一 个 包 含 了 潜 在 函 数 地 址 列 表 的 文 件 ， 文 件 内 数 据 格 式 为 十 六 进 制 ， 每 个 数 据 占 一 行 ， 数 据 形 式 如 下 所 示 ： 这 个 文 件 需 要 以 固 件 文 件 的 文 件 名 来 进 行 名 命 ， 后 跟 “ . f u n ” 作 为 文 件 的 后 缀 名 。 这 个 文 件 可 以 利 用 t a g _ c o d e . p y 这 个 P y t h o n 脚 本 所 提 供 的 t a g _ c o d e ( ) 函 数 来 生 成 ， 使 用 I D A   P r o 的 生 成 步 骤 如 下 ： 在 I D A   P r o 中 加 载 固 件 文 件 ， 选 择 地 址 0 ； 从 I D A   P r o 的 文 件 菜 单 中 ， 选 择 脚 本 文 件 ， 并 选 择 p y ； 在 I D A   P r o 窗 口 底 部 的 命 令 行 终 端 中 ， 使 用 t a g _ c o d e ( ) ， 此 时 将 会 自 动 生 成 函 数 文 件 ； 如 果 你 想 使 用 其 他 工 具 来 生 成 函 数 文 件 的 话 ， 只 要 你 是 以 地 址 0 加 载 固 件 文 件 话 就 都 可 以 。 比 如 说 ， 函 数 文 件 中 的 十 六 进 制 值 对 应 的 就 是 固 件 中 的 偏 移 量 。 接 下 来 ， 我 们 就 可 以 让 B i n b l o o m 通 过 计 算 潜 在 函 数 和 固 件 中 的 函 数 指 针 数 组 之 间 的 相 关 分 数 来 计 算 潜 在 加 载 地 址 （ 列 表 ） ： 上 述 命 令 执 行 后 ， B i n b l o o m 将 会 给 我 们 返 回 如 下 所 示 的 输 出 结 果 ： 0 0 0 0 0 0 1 0 0 0 0 0 0 0 5 4 0 0 0 0 0 5 f 0 0 0 0 0 0 a 5 0 0 0 0 0 0 a 5 4 0 0 0 0 0 a c 0 0 0 0 0 0 b 4 0 0 0 0 0 0 b 6 c 0 0 0 0 0 b 7 4 0 0 0 0 0 b c 0 b i n b l o o m   - f   f i r m w a r e . b i n   - b L o a d e d   f i r m w a r e . b i n ,   s i z e : 2 6 6 8 9 1 2 ,   b i t : f f c 0 0 0 0 0 ,   0 0 3 f f f f f ,   n b _ s e g m e n t s : 1 0 2 4 ,   s h i f t : 2 2 E n d   a d d r e s s : 0 0 2 8 b 9 7 0 l o a d e d   1 4 9 0 3   f u n c t i o n s H i g h e s t   s c o r e   f o r   b a s e   a d d r e s s :   1 5 4 5 ,   f o r   b a s e   a d d r e s s   8 0 0 1 0 0 0 0 F o r   i n f o r m a t i o n ,   h e r e   a r e   t h e   b e s t   s c o r e s :
在 上 述 输 出 文 件 中 ， 我 们 可 以 看 到 目 标 固 件 提 供 了 1 4 9 0 3 个 潜 在 函 数 ， 当 程 序 假 设 加 载 的 基 地 址 为 0 x 8 0 0 1 0 0 0 时 ， 工 具 总 共 在 函 数 指 针 数 组 中 找 到 了 1 5 4 5 个 符 合 条 件 的 对 象 。 如 果 目 标 固 件 源 码 中 存 在 不 同 的 区 域 ， 那 么 B i n b l o o m 将 把 固 件 中 的 不 同 区 域 以 及 对 应 的 加 载 地 址 全 部 显 示 出 来 ： 此 时 ， 我 们 已 经 获 取 到 了 地 址 0 x 0 0 0 0 0 0 0 0 以 及 0 x 0 0 0 4 0 0 0 0 处 的 代 码 段 了 。 B i n b l o o m 将 生 成 两 份 输 出 文 件 ： 将 生 成 两 份 输 出 文 件 ： f i r m w a r e . f a d ： 该 文 件 中 包 含 了 已 识 别 函 数 的 地 址 ； f i r m w a r e . f p t ： 该 文 件 中 包 含 了 已 识 别 函 数 指 针 的 地 址 ； 现 在 ， 我 们 可 以 再 次 打 开 I D A   P r o （ 或 其 他 逆 向 工 程 分 析 软 件 ） ， 以 指 定 的 地 址 加 载 固 件 ， 然 后 将 1 5 4 5 个 已 识 别 函 数 的 地 址 导 入 进 去 ： 在 I D A   P r o 中 以 指 定 地 址 加 载 固 件 ； 在 文 件 菜 单 中 ， 选 择 脚 本 文 件 ， 然 后 选 择 p y ； 选 择 . f a d 文 件 ； 选 择 . f p t 文 件 ； 寻 找 寻 找 U D S 数 据 库 （ 针 对 数 据 库 （ 针 对 E C U 固 件 ） 固 件 ） B i n b l o o m 可 以 尝 试 搜 索 任 何 包 含 了 U D S / K W P 2 0 0 0   I D 的 数 组 ， 这 里 可 以 使 用 - u 选 项 实 现 ： 上 述 命 令 将 返 回 下 列 输 出 内 容 ： F o r   b a s e   a d d r e s s   8 0 0 1 0 0 0 0 ,   f o u n d   1 5 4 5   f u n c t i o n s S a v i n g   f u n c t i o n   p o i n t e r s   f o r   t h i s   b a s e   a d d r e s s . . . D o n e . H i g h e s t   s c o r e   f o r   b a s e   a d d r e s s :   9 3 ,   f o r   b a s e   a d d r e s s   0 0 0 0 0 0 0 0 F o r   i n f o r m a t i o n ,   h e r e   a r e   t h e   b e s t   s c o r e s : F o r   b a s e   a d d r e s s   0 0 0 0 0 0 0 0 ,   f o u n d   9 3   f u n c t i o n s F o r   b a s e   a d d r e s s   0 0 0 4 0 0 0 0 ,   f o u n d   9 3   f u n c t i o n s b i n b l o o m   - f   f i r m w a r e . b i n   - u L o a d e d   f i r m w a r e . b i n ,   s i z e : 1 5 4 0 0 9 6 ,   b i t : f f e 0 0 0 0 0 ,   0 0 1 f f f f f ,   n b _ s e g m e n t s : 2 0 4 8 ,   s h i f t : 2 1 E n d   a d d r e s s : 0 0 1 7 8 0 0 0 U D S   D B   p o s i t i o n :   1 2 3 4   w i t h   a   s c o r e   o f   1 2   a n d   a   s t r i d e   o f   1 2 : 1 0   0 0   3 1   0 0   2 6   2 7   0 0   8 0   0 0   0 0   0 0   0 0
许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 A p a c h e   v 2 . 0 开 源 许 可 证 协 议 。 项 目 地 址 项 目 地 址 B i n b l o o m ： h t t p s : / / g i t h u b . c o m / q u a r k s l a b / b i n b l o o m 精 彩 推 荐 精 彩 推 荐 1 1   0 0   3 1   0 0   2 4   3 d   0 1   8 0   0 0   0 0   0 0   0 0 2 2   0 0   1 0   0 0   2 c   4 2   0 1   8 0   0 0   0 0   0 0   0 0 2 7   0 0   1 0   0 0   1 c   4 1   0 1   8 0   6 0   a 8   0 1   8 0 2 8   0 0   3 1   0 0   3 6   7 f   0 1   8 0   0 0   0 0   0 0   0 0 2 e   0 0   1 0   0 0   1 8   8 8   0 1   8 0   0 8   a e   0 1   8 0 3 1   0 0   3 0   0 0   1 0   4 1   0 1   8 0   0 0   0 0   0 0   0 0 3 4   0 0   1 0   0 0   4 6   4 e   0 1   8 0   0 0   0 0   0 0   0 0 3 6   0 0   1 0   0 0   2 a   2 d   0 1   8 0   0 0   0 0   0 0   0 0 3 7   0 0   1 0   0 0   3 2   3 c   0 0   8 0   0 0   0 0   0 0   0 0 3 e   0 0   3 1   0 0   5 4   5 b   0 1   8 0   0 0   b 2   0 1   8 0 8 5   0 0   3 1   0 0   6 a   2 f   0 1   8 0   0 0   0 0   0 0   0 0
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理