『工具使用』二进制分析框架 angr

# 首先安装依赖环境sudo apt-get install python-dev libffi-dev build-essential    # python3-dev也可# 安装python虚拟环境
sudo pip install virtualenvwrapper# 安装地点默认在/usr/local/bin/
# virtualenvwrapper初始化
mkdir $HOME/.Env    # 创建虚拟环境根目录
vim ~/.bashrc    # 配置环境变量
# 将以下内容添加到最后，如果出现找不到文件提示，可使用whereis命令去查找
export WORKON_HOME=$HOME/Envsexport VIRTUALENVWRAPPER_PYTHON=/usr/bin/python3export VIRTUALENVWRAPPER_VIRTUALENV=/usr/bin/virtualenvsource /usr/share/virtualenvwrapper/virtualenvwrapper.shsource ~/.bashrc    # 重新加载
# virtualenvwrapper操作命令
mkvirtualenv env1    # 创建环境
workon env1    # 切换环境
workon    # 列出已有环境
deactivate    # 退出环境
rmvirtualenv    # 删除环境
# 在virtualenvwrapper中安装angrsudo pip3 install angr    # python2 or python3

import angrproj = angr.Project('test')

proj.arch    # 架构
proj.entry    # 入口地址
proj.filename    # 文件名

import angrproj = angr.Project('test')proj.loader.shared_objects    # 链接库信息
proj.loader.min_addr    # 开始地址
proj.loader.max_addr    # 结束地址
proj.loader.main_objectproj.loader.main_object.execstack    # 堆栈是否能执行

block = proj.factory.block(addr)block.pp()    # 生成block的汇编代码展示
block.instructions    # 该block对象的汇编代码数量
block.instruction_addrs    # 该block对象的每条汇编代码的地址

state = proj.factory.entry_state()
state.regs.rip    # rip数值
state.regs.rax    # rax数值
state.regs.rbx    # rbx数值
state.mem[addr].int.resolved    # 某地址上的内存值，转化成 C 中的int类型

simgr = proj.factory.simulation_manager(state)# 等价于 simgr = proj.factory.simgr(state)
simgr.active    # 显示当前有几个分支
simgr.step()    # 向前进行一步（前进一个block）

obj = proj.loader.main_object
obj.plt    # 打印PLT表信息
obj.linked_base    # 预链接基地址
obj.mapped_base    # 实际装载地址
proj.loader.find_symbol('malloc')    # 直接输出malloc函数地址
malloc = proj.loader.main_object.get_symbol('malloc')# 返回一个symbol对象，后续获取符号名/所属者/链接地址/相对地址等。

state = proj.factory.blank_state()
state.memory.load(0x401000, 6)# 读取内存
state.memory.store(0x401000, s.solver.BVV(0x0123456789abcdef, 64))# 写入内存
# 参数 endness 用于设置端序。state.memory.load(0x401000, 4, endness=archinfo.Endness.LE)# LE–小端序 BE–大端序 ME–中间序

simgr = proj.factory.simgr()    # 建立模式化管理器simgr.explore(find=lambda s: b"Congrats" in s.posix.dumps(1))    # 寻找存在 Congrats 字段的分支s = simgr.found[0]flag = s.posix.dumps(0)print(flag)

>>> x = state.solver.BVV(1,64)<BV64 0x1>>>> y = state.solver.BVV(110, 64)<BV64 0x6e> >>> z = state.solver.BVV(10,27)<BV27 0xa>

>>> state.solver.add(x > y)>>> state.solver.add(y > 2)>>> state.solver.add(10 > x)>>> state.solver.eval(x)

state = proj.factory.entry_state()input = state.solver.BVS('input', 64)op = (((input + 4) * 8) >> 3) + inputout = 220state.solver.add(op == out)state.solver.eval(input)

import angrdef hook_fun(state):    state.regs.edx = 0x89abcdef    state.regs.ecx = 12proj = angr.Project('add')proj.hook(addr=0x080491CA, hook=hook_fun, length=2)state = proj.factory.entry_state()sim = proj.factory.simgr(state)sim.explore(find=0x080491D0)st = sim.found[0]print (hex(st.solver.eval(st.regs.edx)))

//gcc -m32 -z execstack -z norelro -fno-stack-protector -no-pie -o add add.c#include <stdio.h>int main(){    int x = 8;    int y = 9;    printf("num is %dn",x+y);    return 0;}

//gcc -m32 -z execstack -z norelro -fno-stack-protector -no-pie -o test test.c#include <stdio.h>#include <string.h>#include <unistd.h>
char *sneaky = "YOUCANNOTGUESS";int authenticate(char *username, char *password){    char stored_pw[9];    stored_pw[8] = 0;    int pwfile;    if (strcmp(password, sneaky) == 0)         return 1;    return 0;}int accepted(){    printf("Welcome to the admin console!n");}int rejected(){    printf("Go away!");    exit(1);}int main(int argc, char **argv){    char username[9];    char password[15];    int authed = 0;    username[8] = 0;    password[14] = 0;    printf("Username: n");    read(0, username, 8);    printf("Password: n");    read(0, password, 14);    authed = authenticate(username, password);    if (authed)         accepted();    else         rejected();}

import angrproj = angr.Project('test')state = proj.factory.entry_state()po = proj.factory.simgr(state)po.explore(find=0x08049352)st = po.found[0]print (str(st.posix.dumps(0), encoding="utf-8"))

#!/usr/bin/env python#_*_ coding:utf-8 _*_import angr
def basic_exec():    p = angr.Project('test')    state = p.factory.entry_state()    sim = p.factory.simulation_manager(state)    sim.step(until=lambda lpg: len(lpg.active) > 1)#接下来就让sim对象一直执行下去，直到执行到可选择的路径个数大于一个，即产生选择分支的时候，再停止。
#对应在上述的简单程序中authenticate函数的 if (strcmp(password, sneaky) == 0)这个条件判断语句    input_0 = sim.active[0].posix.dumps(0) #dump出所有分支的内容，看看哪个答案应该是最可能的    return input_0
if __name__ == '__main__':    print (str(basic_exec(), encoding="utf-8"))