e9patch

E9Patch - 強大的靜態二進位重寫器

E9Patch 是一個強大的靜態二進位重寫工具，適用於x86_64 Linux ELF 二進位。 E9補丁是：

• 可擴充：E9Patch 可以可靠地重寫大型/複雜的二進位文件，包括 Web 瀏覽器（大小 >100MB）。
• 相容：重寫的二進位是原始二進位檔案的直接替代品，沒有額外的依賴項。
• 快速：E9Patch 可以在幾秒鐘內重寫大多數二進位。
• 低開銷：效能和記憶體。
• 可程式設計：E9Patch 的設計使其可以輕鬆整合到其他專案中。有關詳細信息，請參閱《E9Tool 使用者指南》和《E9Patch 程式設計師指南》。

靜態二進位重寫採用輸入二進位檔案（ELF 執行檔或共用物件）並產生應用了一些修補程式/修改的輸出二進位檔案。修補後的二進位檔案可以用作原始二進位檔案的直接替代品。

欲了解更多信息，請參閱我們的 PLDI'2020 論文：

• Gregory J. Duck、Xiang Gang、Abhik Roychoudhury，無控制流恢復的二進位重寫，程式語言設計與實作 (PLDI)，2020。

發布

預先建置的 E9Patch 二進位檔案可以在此處下載：

• https://github.com/GJDuck/e9patch/releases

建造

建置 E9Patch 非常簡單：只需執行build.sh腳本即可。

這將自動建立兩個工具：

1. e9patch ：二進位重寫器後端；和
2. e9tool ：E9Patch 的線性反組譯前端。

用法範例

E9Patch 可透過 E9Tool 前端使用。

例如，要為xterm中的所有xor指令新增指令列印偵測，我們可以使用下列命令：

    $ ./e9tool -M 'asm=/xor.*/' -P print xterm

這將產生寫入a.out檔案的xterm的修改版本。

修改後的xterm可以正常運行，但會將每個執行的xor指令的彙編字串列印到stderr ：

    $ ./a.out
    xorl %ebp, %ebp
    xorl %ebx, %ebx
    xorl %eax, %eax
    xorl %edx, %edx
    xorl %edi, %edi
    ...

有關支援的選項和模式的完整列表，請參閱：

    $ ./e9tool --help

更多範例

用「空」偵測修補所有跳轉指令：

    $ ./e9tool -M 'asm=/j.*/' -P empty xterm
    $ ./a.out

使用「列印」工具列印所有跳轉指令：

    $ ./e9tool -M 'asm=/j.*/' -P print xterm
    $ ./a.out

與上面相同，但使用“Intel”語法：

    $ ./e9tool -M 'asm=/j.*/' -P print xterm --syntax=intel
    $ ./a.out

透過呼叫空函數來修補所有跳轉指令：

    $ ./e9compile.sh examples/nop.c
    $ ./e9tool -M 'asm=/j.*/' -P 'entry()@nop' xterm
    $ ./a.out

使用指令計數檢測修補所有跳轉指令：

    $ ./e9compile.sh examples/counter.c
    $ ./e9tool -M 'asm=/j.*/' -P 'entry()@counter' xterm
    $ FREQ=10000 ./a.out

使用漂亮的列印工具修補所有跳轉指令：

    $ ./e9compile.sh examples/print.c
    $ ./e9tool -M 'asm=/j.*/' -P 'entry(addr,instr,size,asm)@print' xterm
    $ ./a.out

使用“延遲”工具修補所有跳轉指令以減慢程式速度：

    $ ./e9compile.sh examples/delay.c
    $ ./e9tool -M 'asm=/j.*/' -P 'entry()@delay' xterm
    $ DELAY=100000 ./a.out

注意事項：

• 已針對XTerm(322)

專案

使用 E9Patch 的其他一些項目包括：

• RedFat：基於低脂指針的二進位強化系統。
• E9AFL：自動將 AFL 工具插入二進位檔案中。
• E9Syscall：使用libc.so的靜態二進位重寫來攔截系統呼叫。
• Hopper：為庫自動產生模糊測試案例。
• EnvFuzz：程式環境模糊測試。
• RFF：用於並發測試的灰盒模糊測試。
• AutoTrace：簡單的基於原始程式碼行的追蹤。

文件

E9Patch 是一個低階工具，旨在可整合到其他專案中。要了解更多信息，請參閱以下文件：

• E9Patch 程式設計師指南
• E9Tool使用者指南

蟲

可以在此處報告錯誤：

• https://github.com/GJDuck/e9patch/issues

版本

與 PLDI'2020 論文中評估的原始原型相比，目前版本的 E9Patch 有了顯著改進。具體來說：

• 目前版本實現了多項新的最佳化，並且可以產生速度顯著加快的二進位文件，有時速度提高了 2 倍。若要啟用新的最佳化，請將-O2選項傳遞給 E9Tool。
• 實體頁面分組空間優化的實作也得到了改進。
• 補丁覆蓋範圍也略有改善。
• 許多新功能已經實現（請參閱文件）。

執照

該軟體已根據 GNU 公共授權 (GPL) 第 3 版發布。

一些特定文件是在 MIT 許可證下發布的（檢查文件前導碼）。

致謝

這項工作得到了國家可信賴軟體系統卓越衛星的部分支持，該衛星由新加坡國家研究基金會 (NRF) 國家網路安全研發 (NCR) 計畫資助。