最强辅助！IDA 辅助工具Karta——二进制文件中搜索开源代码

最新推荐文章于 2024-08-08 07:06:29 发布

你永远不了解Thrash的魅力

最新推荐文章于 2024-08-08 07:06:29 发布

阅读量1.5k

点赞数

分类专栏：免费分享技术文文章标签：安全

本文链接：https://blog.csdn.net/Appleteachers/article/details/116656773

版权

Karta是一款IDA插件，用于在编译过的二进制文件中搜索开源代码，尤其适用于固件分析。通过匹配函数和版本识别，Karta能高效地识别出二进制文件中的开源库，如libpng、zlib等，并有助于在大型二进制文件中查找1-day漏洞。Karta的高准确性和低误报率使其成为安全研究人员的有力工具。

摘要由CSDN通过智能技术生成

介绍
“ Karta”是IDA的python插件，其功能是在已经编译过的二进制文件中搜索是否使用了开源的代码。该插件是为了匹配大体积二进制文件中的开放源代码库的开源代码（通常是查找固件）。对于每天处理固件的人来说，反复的执行net-snmp显然是在浪费时间。所以需要一个工具来识别二进制文件所使用的开源，并在IDA中自动匹配。

这个插件的初衷是加快匹配的过程。用几个小时去匹配一个包含300个函数的库是很低效的一件事，更何况实际工作过程中逆向的工程会远大于此，比如超过100,000个函数的体积。当然，结合逆向工程行业的一些经验教训，我们解决了这个问题，并取得了比预期更好的结果。

事实证明，出于性能原因而部署的启发式方法对匹配结果也有很大的影响。该插件产生的误报率非常低，而准确性很高。这对于匹配中小型二进制文件也很有用。

因此，我们认为Karta可以成为研究人员的重要工具。

Karta的功能如下：

侦查阶段–鉴别二进制文件中使用的开源代码，包括其版本。
清除混淆状况-为使用的开源代码匹配符号，从而节省逆向工程看起来是已知功能的时间。
查找1 day–使用已使用的开源代码列表，其符号已在二进制文件中匹配，可以轻松地在可执行文件\固件文件中查找1 day。

Karta
如前所述，Karta是IDA的源代码辅助二进制匹配插件。该插件实现了2个功能：

1.标识–标识静态编译的开源代码的确切版本。
2.匹配–匹配已识别开源的符号。
该插件的源代码现在可以在Github中找到。

有时在不同体系架构上编译开源库是一件非常困难的事，因此我们通过使插件体系架构独立来消除了此步骤。例如，如果我们要匹配libpng开源版本1.2.29 （在HP OfficeJet固件中使用的版本），我们要做的就是从Github克隆它并在我们的（x86）机器上编译它。编译之后，Karta可以生成一个描述该库的规范的.json配置文件。使用此配置，即使固件已编译为Big-Endian ARM Thumb模式，我们的插件现在也可以成功地在固件中找到该库。

Karta由模块组成，IDA反汇编器模块可以用任何其他反汇编模块代替。

寻找 1 day
虽然我们描述了插件的几个使用案例，但在流行软件中寻找1day可能是最有趣的。这是我们研究的两个现实的例子。

HP OfficeJet固件
在我们的FAX研究过程中，我们需要1天的时间才能用作调试漏洞。最终，我们使用了Devil’s Ivy。在完成Karta的开发之后，就该回到固件并检查Karta如何帮助我们进行研究了。

Karta的返回结果显示固件中使用的开源库是：