Unduh eBPF for Ghidra - Unduh kode sumber eBPF for Ghidra

eBPF for Ghidra

Kategori lainnya

v0.2

Unduh

prosesor eBPF untuk Ghidra

Ekstensi ini mengimplementasikan dukungan arsitektur eBPF untuk Ghidra dan memungkinkan pembongkaran dan dekompilasi program eBPF.

Peringatan: eBPF disertakan dalam Ghidra sejak Ghidra 10.3

Sejak Mei 2023, eBPF-for-Ghidra telah disertakan dalam repositori resmi Badan Keamanan Nasional/Ghidra .
Anda bisa mendapatkan update dan perbaikan terkini untuk modul eBPF langsung di Ghidra.

Repo ini mungkin diarsipkan di masa mendatang.

Contoh

Contoh program eBPF bisa Anda dapatkan disini.

Ekstensi eBPF

Contoh pembongkaran dan dekompilasi eBPF:

Contoh dekompilasi

Instalasi

Unduh versi rilis ekstensi dan instal di File → Install Extensions...
Gunakan gradle untuk membuat ekstensi: GHIDRA_INSTALL_DIR=${GHIDRA_HOME} gradle dan gunakan Ghidra untuk menginstalnya: File → Install Extensions...
Kloning repositori ini ke direktori GhidraExtensions .

Pembaruan

03.09.2019 — Implementasi peta eBPF, pengendali relokasi khusus diterapkan

19.09.2019 — masalah dengan tumpukan teratasi

20.09.2019 — Pembantu panggilan eBPF diimplementasikan sebagai syscall, menambahkan tanda tangan pembantu melalui eBPFAnalyzer khusus

23.09.2019 — bookmark buruk diperbaiki

01.12.2020 - pembantu eBPF baru ditambahkan

23.06.2022 — menambahkan dukungan untuk panggilan relatif (tipe relokasi R_BPF_64_32 ). Terima kasih @cnwangjihe untuk ide ini. imm instruksi panggilan di mana bpf_call->src_reg == BPF_PSEUDO_CALL sekarang berisi offset relatif ke fungsi target.

Sebelum:

gambar

Setelah:

24.06.2022 — membuat Pull Request ke repositori resmi Ghidra sebagai pemasok utama prosesor eBPF

19.12.2022 — menambahkan dukungan untuk operasi BPF_ATOMIC, instruksi ALU32 ditambahkan, instruksi BPF_JMP32 ditambahkan, instruksi JSET diperbaiki

03.05.2023 — Dukungan prosesor eBPF ditambahkan ke repositori resmi Ghidra di commit 506ca1e

Mulai dari Ghidra 10.3, modul eBPF disertakan secara default di Ghidra. Tidak perlu lagi membangun proyek ini dan menambahkannya sebagai ekstensi Ghidra. Bagi pengguna Ghidra versi lama, modul eBPF masih dapat diakses melalui Rilis yang ada.