METASM

METASMはRubyで記述されている、アセンブラ、逆アセンブラ、コンパイラ、リンカ、デバッガといった機能を持つライブラリ/アプリケーションである。

対応アーキテクチャ

x86_64,ia32,mips,ppc (unstable: arc,arm,bpf,cy16,dalvik,python,sh4,z80)

対応フォーマット

a.out,elf,pe,raw,Mach-O,nds,xcoffなど

http://metasm.cr0.org/

インストール方法

事前に必要なもの

METASMを使うためにはRubyがインストールされている必要がある。

手動インストール(UNIX)

GITHUBからリポジトリをクローンする。

$ git clone https://github.com/jjyg/metasm/ ~/local/metasm

環境変数RUBYLIBにmetasmのディレクトリを追加する。.bashrcや.zshenvなどに以下を記述。

[[ -s "$HOME/local/metasm" ]] && export RUBYLIB="$HOME/local/metasm"

gtk2-gemをインストールする(GUI版の逆アセンブラーを使う場合のみ)

$ gem install gtk2

gemを用いたインストール

METASMはrubygemsでも配布されているため、gemコマンドを使ってインストールすることができる。

$ gem install metasm

特にライブラリとして用いる時はこちらが楽。

逆アセンブラ(GUI)

samplesディレクトリに利用例として様々なツールが入っている。(大体はRubyから扱うためのSampleである) 逆アセンブラ(GUI)はdisassmble-gui.rbという名前で入っている。

起動方法

disassmble-gui.rbを実行して起動する。

ruby metasm/samples/disassmble-gui.rb --cpu <CPU名> --exe <ファイルフォーマット> [その他オプション] (実行ファイル)

CPU名やファイルフォーマットは基本的に自動認識してくれるので指定する必要はない。

キーボードショートカット

ライブラリ

シェルコード

RubyのExploit上で直接Shellcodeを書くことが可能になる。

   1 require 'metasm'
   2 
   3 print Metasm::Shellcode.assemble(Metasm::Ia32.new, <<SOURCE).encode_string
   4 mov eax, 1
   5 mov ebx, 42
   6 int 80h         // exit
   7 SOURCE
   8 

デバッガ

プロセスを実行する

Metasm::OS.currentで現在のOSを取得することが出来る。(Metasm::LinOSかMetasm::WinOSのどちらか)

OS.create_processにより新規プロセスをコマンドを指定して実行出来る。

   1 require 'metasm'
   2 
   3 process = Metasm::OS.current.create_process('./a.out')
   4 # 引数を渡す場合は process = Metasm::OS.current.create_process('./a.out ARGV1 ARGV2')
   5 debugger = process.debugger
   6 debugger.run_forever

プロセスにアタッチする

   1 # 特定の名前またはpidを持つ最初のプロセスを返す
   2 pid = Metasm::OS.current.find_process('./a.out').pid
   3 
   4 process = Metasm::OS.current.open_process(pid)
   5 debugger = process.debugger

標準入出力を確保してプロセスを実行する

   1 io = IO.popen(['./a.out', 'aaa'], 'r+')
   2 debugger = Metasm::OS.current.open_process(io.pid).debugger

ブレークポイント

ソフトウェアブレークポイント

Debugger.bpx(アドレス, 一度のみか, &callback)

   1 debugger.bpx(0x40051d, true) do 
   2   puts "eax=#{debuger[:eax]}"
   3 end

ハードウェアブレークポイント

Debugger.hwbp(アドレス, タイプ(:r, :w, :x)のどれか, メモリサイズ, 一度のみか, &callback)

   1 debugger.hwbp(0x40051d, :x, 1, true) do 
   2   puts "eax=#{debuger[:eax]}"
   3 end

メモリアクセスブレークポイント

Debugger.mbp(アドレス, タイプ(:r, :w)のどれか, メモリサイズ, 一度のみか, &callback)

   1 debugger.mbp(0x40051d, :r, 1, true) do 
   2   puts "Access"
   3 end

アンチ・アンチデバッギング

Windows, is_debugger_present対策

   1 dbg[process.peb_base + 0x02, 1] = "\0" # is_debbuger_present() => falseにする