首页
论坛
课程
招聘
[调试逆向] [原创]GoParser——Yet Another Golang binary parser for IDAPro
2020-8-7 10:36 1774

[调试逆向] [原创]GoParser——Yet Another Golang binary parser for IDAPro

2020-8-7 10:36
1774

golang_loader_assistjeb-golang-analyzer 启发,本菜为 IDAPro 写了一个更完备的 Go 二进制文件解析工具。现开源出来:

 

GitHub Repo: https://github.com/0xjiayu/go_parser

0x00 核心功能:

  1. 自动定位 firstmoduledata 的位置并解析;
  2. 根据 firstmoduledata 中的信息定位到 pclntab(PC Line Table),并从 pclntab 入手解析、恢复函数符号,抽取源码文件列表
  3. 解析 strings 和 string pointers
  4. 根据 firstmoduledata 中的信息,解析所有 types 并为 types 各种属性打上有意义的 comment 或 dref;
  5. 解析 itab(Interface Table);
  6. 以上功能对于 buildmode=pie 类型的 Go binary 文件依然有效。

关于 PIE mode,多说一句。很多人编译 Go 程序时没注意过 go buildmode,其中一个比较特殊的 buildmode=pie,可以生成地址无关的二进制文件,进而结合 ASLR 技术加强自身安全性。这对 Go 自身的内存安全机制来说,是个锦上添花的特性。详情参考:

  1. https://golang.org/doc/go1.6#compiler
  2. https://docs.google.com/document/d/1nr-TQHw_er6GOQRsF6T43GGhFDelrAP0NqSS_00RgZQ/edit?pli=1#

其实这个 buildmode 还有一个鲜为人知的效果:在用此模式编译出的二进制文件面前,当前业界公开的 Go binary parse script/plugin for disassemblers 就跪了,分析不了。连鄙人眼中曾经最强的 Go 二进制逆向解析工具 redress( hxxps://go-re.tk/redress/ ) 也无能为力:

 

redress with PIE mode Go binary

 

使用 GoParser 在 IDA 中分析 DDGMiner v5029 (MD5: 95199e8f1ab987cd8179a60834644663) 样本中核心的配置文件 struct 解析结果示例如下:

 

 

样本源码文件列表:

 

0x01 项目文件列表:

  • go_parser.py :整套工具的入口文件,在 IDAPro 中 [Alt+F7] 组合键,执行此脚本;
  • common.py: 通用变量和函数定义;
  • pclntbl.py: 解析 pclntab(PC Line Table);
  • strings.py: 解析 strings 和 string pointers;
  • moduldata.py: 解析 firstmoduledata
  • types_builder.py: 解析所有 types
  • itab.py: 解析 itab(Interface Table);.

0x02 Note

  1. 此工具只在 IDA7.2/IDA7.0 上测试过,其他的 IDA 版本未经测试;
  2. strings 解析模块从 golang_loader_assist 移植过来,我自己又增加了 string pointers 解析的功能,目前只支持 x86 架构。

0x03 Refer

  1. Analyzing Golang Executables
  2. Reversing GO binaries like a pro
  3. Reconstructing Program Semantics from Go binaries.pdf

[看雪官方]《安卓高级研修班》线下班,网课(12月)班开始同步招生!!

最后于 2020-8-7 12:14 被无敌甲鱼编辑 ,原因: 新增 PIE module 相关的 refer
收藏
点赞6
打赏
分享
最新回复 (6)
雪    币: 18866
活跃值: 活跃值 (1266)
能力值: (RANK:382 )
在线值:
发帖
回帖
粉丝
顾何 活跃值 7 2020-8-7 11:32
2
0
感谢大佬分享!  看样子又是一款golang解析神器
雪    币: 317
活跃值: 活跃值 (272)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
无敌甲鱼 活跃值 2020-8-7 11:38
3
0
欢迎各位师傅试用,有什么问题直接提
雪    币: 7404
活跃值: 活跃值 (690)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
xmhwws 活跃值 2020-8-7 12:41
4
0

大佬,与它(https://github.com/sibears/IDAGolangHelper)相比,优缺点如何呢?

最后于 2020-8-7 12:42 被xmhwws编辑 ,原因:
雪    币: 414
活跃值: 活跃值 (116)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
CuteMiyu 活跃值 2020-8-7 12:43
5
0
請問DDGS是什麼項目? O_O
雪    币: 317
活跃值: 活跃值 (272)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
无敌甲鱼 活跃值 2020-8-7 13:35
6
0
CuteMiyu 請問DDGS是什麼項目? O_O

DDG 是一个核心样本由 Go 语言编写的挖矿僵尸网络,详情戳:https://blog.netlab.360.com/tag/ddg/

最后于 2020-8-7 13:37 被无敌甲鱼编辑 ,原因: 添加 URL
雪    币: 317
活跃值: 活跃值 (272)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
无敌甲鱼 活跃值 2020-8-7 14:07
7
1
xmhwws 大佬,与它(https://github.com/sibears/IDAGolangHelper)相比,优缺点如何呢?
我对 IDAGolangHelper 研究不深入,简单看了下它的源码,有几个点:
1. 现在从它 GitHub Repo 上直接 git clone 下来,无法在 IDA7.0/IDA7.2 上执行;
2. 它不解析 source file paths list;
3. 它不解析 Itab(Interface Table)
4. 它解析 Runtime Type Information 的时候,是把每一种 type 的结构在 IDA 中定义成了 ida_struct,在 IDA 中展示的时候就不那么直观了;
5. 看起来它支持的 Go 版本更多,我的 GoParser 只测试过 Go 1.13+
游客
登录 | 注册 方可回帖
返回