IDAPython 教程6

Using IDAPython to Make Your Life Easier: Part 6

原文：https://unit42.paloaltonetworks.com/unit42-using-idapython-to-make-your-life-easier-part-6/

在我们的IDAPython博客系列的第5部分中，我们使用IDAPython从恶意样本中提取嵌入式可执行文件。对于第六部分，我想讨论一种非常自动化的方式来使用IDA。具体来说，让我们解决如何在不生成GUI的情况下将文件加载到IDA，自动运行IDAPython脚本并提取结果的方法。使用这种技术，我们将能够非常快速地处理许多样本，而无需在新的IDA实例中手动打开每个文件并运行IDAPython脚本。

许多人可能会惊讶地发现IDA可以完全在命令行上执行而无需生成GUI。为此，用户必须使用“ -A”开关运行IDA可执行文件。此特定开关将指示IDA以自主模式运行，从而确保没有窗口或对话框显示给用户。

 

以下命令行示例演示了OSX和Microsoft Windows中都使用的这一技术。在这些示例中，即使已存在一个“ -c”开关，它也会生成一个新的IDB文件。另外，“-S”开关指定将在执行时运行的IDAPython脚本。我们将在稍后的文章中使用这些开关。

 

1 2 3

"/Applications/IDA Pro 6.9/idaq.app/Contents/MacOS/idaq" -c -A -S/tmp/script.py file.exe   "C:\Program Files\IDA 6.9\idaq.exe" -c -A -SC:\script.py C:\file.exe

 

场景

在这个例子中，我将使用Cmstar恶意软件家族，前面所讨论的单元42对于那些不熟悉这个恶意软件系列，它是将转移文件的下载托管在特定的URL通过HTTP（S）和执行它在受害者的系统上。可以使用以下例程对有问题的URL进行混淆。

 

1 2 3 4 5 6 7

def decode(data):   out = ""   c = 0   for d in data:       out += chr(ord(d) - c - 10)       c += 1       return out

知道了这一点，我们的下一个任务是识别这些数据在Cmstar样本中的位置。通过比较几个样本，我们得出结论，使用对memcpy的调用将两个加密的字符串存储到变量中。其中一个字符串包含恶意软件将连接到的域或IP地址，另一个则包含URI。

我们还注意到，发生此memcpy指令时，将执行相同的指令序列：

mov esi，[offset] 
pop ecx 
lea edi，[variable] 
rep movsd

图1在Cmstar中包含编码字符串的函数

掌握了这些信息后，我们可以尝试使用IDAPython识别此指令序列。为此，我们将遍历IDA标识的每个函数，并继续忽略标记为跳转函数或属于已知库的任何函数。然后，将通过使用滑动窗口来迭代其余功能，在该滑动窗口中，我们将一次检查四条指令，查找先前确定的标记以确定是否存在任何匹配项：

 

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

import idc, idautils   for func in idautils.Functions():   flags = idc.GetFunctionFlags(func)   # Ignore THUNK (jump function) or library functons   if flags & FUNC_LIB or flags & FUNC_THUNK:     continue   dism_addr = list(idautils.FuncItems(func))   for c in range(len(dism_addr)):     try:      # Look at four instructions at a time      v1 = dism_addr[c]      v2 = dism_addr[c+1]      v3 = dism_addr[c+2]      v4 = dism_addr[c+3]      # Look for known markers indicating we're seeing the encoded strings      # being copied to a variable.      if idc.GetMnem(v1) == 'mov' and idc.GetOpnd(v1, 0) == 'esi':        if idc.GetMnem(v2) == 'pop' and idc.GetOpnd(v2, 0) == 'ecx':          if idc.GetMnem(v3) == 'lea' and idc.GetOpnd(v3, 0) == 'edi':            if idc.GetDisasm(v4) == 'rep movsd':              print "[*] Found instruction starting at 0x{address:x}".format(address=v1)    except IndexError:      # Sliding window went past the end of the function      None

在上面的示例中，如果找到匹配项，我只是打印出调试字符串。在IDA中针对MD5哈希为4BEFA0F5B3F981E498ACD676EB352D45的示例运行此代码，我们得到以下输出。如下所示，我们已成功识别出两个混淆字符串的地址。

图2针对Cmstar示例的运行脚本

此时，我们可以获取已经确定的偏移量，并提取它们指向的字符串。然后可以使用先前定义的decode（）函数对这些字符串进行解码。

 

1 2 3 4 5 6 7

addr = idc.GetOperandValue(v1, 1) data = "" while Byte(addr) != 0x0: data += chr(Byte(addr))    addr += 1    decoded = decode(data) addr = idc.GetOperandValue(v1, 1)

综合所有这些，我们得出以下脚本：

 

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51

import idautils, idc, idaapi   def decode(data): out = "" c = 0 for d in data:    out += chr(ord(d) - c - 10)    c += 1 return out   # Wait for auto-analysis to finish before running script idaapi.autoWait()   url = "" for func in idautils.Functions(): flags = idc.GetFunctionFlags(func) # Ignore THUNK (jump function) or library functons if flags & FUNC_LIB or flags & FUNC_THUNK:    continue dism_addr = list(idautils.FuncItems(func)) for c in range(len(dism_addr)):    try:     # Look at four instructions at a time      v1 = dism_addr[c]      v2 = dism_addr[c+1]      v3 = dism_addr[c+2]      v4 = dism_addr[c+3]      # Look for known markers indicating we're seeing the encoded strings      # being copied to a variable.      if idc.GetMnem(v1) == 'mov' and idc.GetOpnd(v1, 0) == 'esi':        if idc.GetMnem(v2) == 'pop' and idc.GetOpnd(v2, 0) == 'ecx':          if idc.GetMnem(v3) == 'lea' and idc.GetOpnd(v3, 0) == 'edi':            if idc.GetDisasm(v4) == 'rep movsd':              addr = idc.GetOperandValue(v1, 1)              data = ""              while Byte(addr) != 0x0:                data += chr(Byte(addr))                 addr += 1              decoded = decode(data)              url += decoded    except IndexError:      # Sliding window went past the end of the function      None   current_file = idaapi.get_root_filename() f = open("/tmp/output.txt", 'ab') if url != "":    f.write("[+] {0} : {1}\n".format(current_file, ''.join(url))) f.close()   idc.Exit(0)

在这一阶段，我们可以使用在非GUI模式下运行IDA的自动化技术，并使用上面的脚本。这将使我们能够针对大量示例运行此脚本，而无需用户交互。我们将在OSX机器上运行脚本，如下所示：

为x in ls; 做/ Applications / IDA \ Pro \ 6.9 / idaq.app / Contents / MacOS / idaq -c -A -S / tmp / script.py $ x; 做完了

几分钟后，我们在/tmp/output.txt中处理了以下内容，这是我们指示脚本存储结果的位置。

图3 /tmp/output.txt的输出

结论

通过利用IDAPython的功能以及IDA的命令行开关，我们成功地自动提取了许多Cmstar示例的下载位置。这项技术可以轻松地应用于大量样本，从而使我们能够执行IDAPython操作，而无需手动打开IDA中的每个文件。对于那些不了解此IDA功能的读者，我恳请您对其进行研究，因为它不仅可以节省您的时间，而且在处理大量文件时使事情变得容易得多。