-
-
[原创]GoParser——Yet Another Golang binary parser for IDAPro
-
发表于: 2020-8-7 10:36
-
受 golang_loader_assist 和 jeb-golang-analyzer 启发，本菜为 IDAPro 写了一个更完备的 Go 二进制文件解析工具。现开源出来：
关于 PIE mode，多说一句。很多人编译 Go 程序时没注意过 go buildmode，其中一个比较特殊的 buildmode=pie，可以生成地址无关的二进制文件，进而结合 ASLR 技术加强自身安全性。这对 Go 自身的内存安全机制来说，是个锦上添花的特性。详情参考：
其实这个 buildmode 还有一个鲜为人知的效果：在用此模式编译出的二进制文件面前，当前业界公开的 Go binary parse script/plugin for disassemblers 就跪了，分析不了。连鄙人眼中曾经最强的 Go 二进制逆向解析工具 redress( hxxps://go-re.tk/redress/ ) 也无能为力：
使用 GoParser 在 IDA 中分析 DDGMiner v5029 (MD5: 95199e8f1ab987cd8179a60834644663) 样本中核心的配置文件 struct 解析结果示例如下：
样本源码文件列表：
- go_parser.py ：整套工具的入口文件，在 IDAPro 中 [Alt+F7] 组合键，执行此脚本；
- common.py: 通用变量和函数定义；
- pclntbl.py: 解析 pclntab(PC Line Table);
- strings.py: 解析 strings 和 string pointers；
- moduldata.py: 解析 firstmoduledata；
- types_builder.py: 解析所有 types ；
- itab.py: 解析 itab(Interface Table)；.
- 自动定位 firstmoduledata 的位置并解析；
- 根据 firstmoduledata 中的信息定位到 pclntab(PC Line Table)，并从 pclntab 入手解析、恢复函数符号，抽取源码文件列表；
- 解析 strings 和 string pointers；
- 根据 firstmoduledata 中的信息，解析所有 types 并为 types 各种属性打上有意义的 comment 或 dref；
- 解析 itab(Interface Table)；
- 以上功能对于 buildmode=pie 类型的 Go binary 文件依然有效。
- f7eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4L8$3I4S2L8X3N6Q4x3X3g2G2M7X3N6Q4x3V1k6V1L8$3y4Q4x3V1k6Y4L8K6q4Q4x3X3f1$3i4K6t1K6j5$3!0E0M7r3W2D9k6i4t1`.
- a6cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8$3y4K6i4K6u0W2k6$3!0G2k6$3I4W2i4K6u0W2j5$3!0E0i4K6u0r3k6r3!0U0N6h3#2W2L8Y4c8Q4x3V1k6V1i4K6u0r3x3h3&6J5i4K6u0V1g2q4q4t1N6#2)9#2k6X3g2J5y4V1N6a6f1g2u0K6c8U0k6f1y4o6y4s2c8$3S2r3c8r3g2D9M7V1q4b7x3p5&6I4f1#2y4Q4y4h3j5H3x3q4u0Y4h3W2q4Q4x3V1k6W2k6r3W2@1i4K6y4r3M7r3I4A6i4K6y4p5x3g2)9J5x3H3`.`.
- 此工具只在 IDA7.2/IDA7.0 上测试过，其他的 IDA 版本未经测试；
- strings 解析模块从 golang_loader_assist 移植过来，我自己又增加了 string pointers 解析的功能，目前只支持 x86 架构。
- Analyzing Golang Executables
- Reversing GO binaries like a pro
- Reconstructing Program Semantics from Go binaries.pdf
最后于 2020-8-7 12:14
被无敌甲鱼编辑
，原因： 新增 PIE module 相关的 refer
|
|
|---|---|
|
|
感谢大佬分享！ 看样子又是一款golang解析神器
|
|
|
欢迎各位师傅试用，有什么问题直接提
|
|
|
|
|
|
|
|
|
DDG 是一个核心样本由 Go 语言编写的挖矿僵尸网络，详情戳：66dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1L8r3!0Y4i4K6u0W2L8X3g2@1L8r3q4T1i4K6u0W2x3K6j5H3i4K6u0W2j5$3!0E0i4K6u0r3N6r3q4Y4i4K6u0r3k6r3c8Y4i4K6u0r3
最后于 2020-8-7 13:37
被无敌甲鱼编辑
，原因： 添加 URL
|
|
|
我对 IDAGolangHelper 研究不深入，简单看了下它的源码，有几个点： 1. 现在从它 GitHub Repo 上直接 git clone 下来，无法在 IDA7.0/IDA7.2 上执行； 2. 它不解析 source file paths list； 3. 它不解析 Itab(Interface Table) 4. 它解析 Runtime Type Information 的时候，是把每一种 type 的结构在 IDA 中定义成了 ida_struct，在 IDA 中展示的时候就不那么直观了； 5. 看起来它支持的 Go 版本更多，我的 GoParser 只测试过 Go 1.13+ |
|
|
更多对比&工具盘点参考这篇： 《Go二进制文件逆向分析从基础到进阶(1)——综述》 244K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6B7K9h3q4&6N6e0m8^5i4K6u0W2j5$3!0E0i4K6u0r3x3U0l9J5x3q4)9J5c8U0l9^5i4K6u0r3x3U0u0Q4x3V1k6Y4L8#2)9J5k6r3u0A6L8X3q4J5P5g2)9J5k6s2u0W2N6X3g2J5M7$3g2Q4x3X3c8W2L8X3N6A6L8X3g2W2M7X3W2F1k6#2)9J5k6s2y4#2L8h3#2S2M7Y4W2Q4x3V1j5`. |
xmhwws
