Определение функций Ruby (IDA Pro)

Сейчас на форуме: asfa, _MBK_, Adler, bartolomeo (+8 невидимых)

Посл.ответ	Сообщение
trueinsider Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 09 сентября 2012 22:29 · Личное сообщение · #1 Привет. Есть dll-ка, в нее встроен Ruby. pdb нет. Необходимо как-то подсветить функции, относящиеся к Ruby в IDA. На уровне "где-то слышал" знаю, что вроде как можно сгенерить сигнатуры Ruby, а потом по ним найти функции, но не знаю как делать ни то, ни другое. Буду благодарен за помощь.

reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 09 сентября 2012 22:40 · Поправил: reversecode · Личное сообщение · #2 первый раз слышу что уже и руби умеет компилироватся в x86 байт код может в этой dll весь руби интерпретатор? найдите какой нибудь виндовс порт от руби и разберитесь со структурой данных
trueinsider Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 09 сентября 2012 22:44 · Поправил: trueinsider · Личное сообщение · #3 Я имел в виду Embedded Ruby. Он встроен в dll и имеет свои функции (rb_define_class, rb_define_method, rb_define_alias и т.д.), которые позволяют определять классы и прочее прямо в C++. И да, это полноценный интерпретатор. Там есть функция, через которую ему можно скармливать скрипты.
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 09 сентября 2012 22:54 · Личное сообщение · #4 это оффициальный интерпретатор? или кто то кастомно его собирал? если оффициальный - соберите свой под виндой, а потом утилитой(хм пробегала на лабе помоему автор Hexx) которая умеет сравнивать два похожих файла и натягивать сигнатуры одного на другого если это чейто интерпретатор нонейм, то даже не знаю чем помочь еще кстати бывает если офф интепретатор то pdb или debug символы к нему там же на офф сайте можно поискать
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 09 сентября 2012 23:50 · Поправил: F_a_u_s_t · Личное сообщение · #5 Это? Code: Function _identical_path at 0x0 Function _false_value at 0x8 Function _true_value at 0x10 Function _verbose_setter at 0x1c Function _opt_W_getter at 0x38 Function _locale_path at 0x58 Function _dump_option at 0x7c Function _disable_option at 0x2a0 Function _enable_option at 0x380 Function _restore_lineno at 0x460 Function _process_sflag at 0x47c called from _process_options(0x31a5) called from _process_options(0x3403) Function _printf at 0x6bc called from _process_options(0x35aa) called from _process_options(0x35ca) called from _process_options(0x3967) Function _rb_f_sub at 0x6d8 Function _set_arg0 at 0x7a8 called from _rb_f_sub(0x7a6) Function _expand_include_path at 0x8b4 called from _set_arg0(0x8b3) Function _rb_f_chomp at 0x904 Function _rb_f_chop at 0x9d4 called from _rb_f_chomp(0x9d2) Function _rb_f_gsub at 0xaa8 called from _rb_f_chop(0xaa6) Function _proc_options at 0xb78 called from _rb_f_gsub(0xb76) called from _moreswitches(0x20d5) called from _process_options(0x2e8d) Function _moreswitches at 0x1f88 called from _proc_options(0x1f83) called from _load_file_internal(0x248f) called from _process_options(0x3649) Function _load_file_internal at 0x214c Function _ruby_push_include at 0x2998 Function _ruby_incpush at 0x2a20 Function _ruby_incpush_expand at 0x2ab0 Function _DllMain@12 at 0x2b64 Function _rb_libruby_handle at 0x2b80 Function _ruby_init_loadpath_safe at 0x2b8c called from _ruby_init_loadpath(0x2e69) called from _process_options(0x2f9f) Function _ruby_init_loadpath at 0x2e5c Function _process_options at 0x2e70 called from _ruby_process_options(0x40fe) Function _rb_load_file at 0x3d30 called from _process_options(0x3d2b) Function _ruby_script at 0x3e04 Function _ruby_prog_init at 0x3e64 Function _ruby_set_argv at 0x3f94 Function _ruby_process_options at 0x4018 Function _ruby_sysinit at 0x411c или что то другое? Если это то с десяток строк на python'e reversecode это оффициальный интерпретатор? или кто то кастомно его собирал? Вариаций рубина около десятка, топикстартер предлагает угадать какой используется.
trueinsider Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 11 сентября 2012 23:49 · Личное сообщение · #6 reversecode Официальный C'шный интерпретатор (это видно и по названиям функций). Инфа по встраиванию есть тут: http://www.rubycentral.com/pickaxe/ext_ruby.html F_a_u_s_t Если речь о формате результата, то вполне ок. Но сам результат получен от другой реализации интерпретатора.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 12 сентября 2012 00:02 · Поправил: F_a_u_s_t · Личное сообщение · #7 trueinsider Да, привел пример вывода. Дайте скомпиленый семпл. Add: Все, я вас понял, используется стандартный рубин, только вкомпилен, тогда ничего сложного, ставьте IDA + IDAPithon в папке examples вам нужен скрипт ex_func_chooser.py выводит адреса функций и имена, допилите его что бы делал сигнатуру и ресерчите libmsvcrt-ruby191-static.a, полученные сигнатуры накладываете в своем приложении, не видя цели ничего больше посоветовать не могу, можете поискать какой нибудь парсер COFF формата, дабы избавить себя от ручной работы.
trueinsider Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 12 сентября 2012 00:55 · Личное сообщение · #8 Вот сама dll-ка: http://rghost.ru/40316165 (был снят аспр) В нее "вшит" Ruby версии 1.8.1 (т.к. dll-ка довольно старая)

Для печати