[B! unicorn] TAKEmaruのブックマーク

UnicornでWindowsAPIトレーサーみたいなものを作った - 雑記

とは言っても技術的に何か特殊なことをしているとかいうわけではなくて，単純にPEローダーを頑張って実装したみたいな話．作ったもの github.com Unicorn QEMUのラッパみたいなもので，CPUエミュレータをフレームワークとして手軽に扱えるUnicornというライブラリがある．つい先月v1.0がリリースされて，Go, Python, .NET, Javaの他にMSVC, VB6, Ruby, Haskellのバインディングが追加された． www.unicorn-engine.org 他に特筆すべき点としては，GDTR, IDTR, LDTRあたりのサポートが追加されて適切にセグメントレジスタを設定できるようになった(!)ことや，コンテキスト周りのサポートが入ったことが挙げられる．前者の方が結構重要で，WindowsではFSレジスタがTIBのアドレスを指しているのでマルウェアだ

TAKEmaru 2017/03/10

unicorn

リンク

Unicorn VS. Malware

TAKEmaru 2017/03/06

リンク

RIP value failure inside UC_HOOK_MEM_UNMAPPED hook? · Issue #534 · unicorn-engine/unicorn

TAKEmaru 2016/12/31

unicorn

リンク

Unicornのソースコードを読む (Python編) | 一生あとで読んでろ

※Rackサーバの方のUnicornではない．はじめに　UnicornはQEMUベースの軽量，マルチプラットフォーム・マルチアーキテクチャ・JIT対応のCPUエミュレータ．周辺機器をエミュレーションしないため用途は限られるが，GoやPythonなど複数言語のバインディングを備えている．現在システムセキュリティ分野で最も注目されているOSSのひとつと言っても過言ではなく，AsiaCCS 2016で発表されたROPチェーン解析ツールROPM EMUや，遺伝的アルゴリズムによってROPチェーンを自動生成するツールroperのバックエンドとして用いられたり，Unicornと同じように注目を集めているバイナリ解析ツールangrとの連携が進められたりと，一大コミュニティを形成しつつある．コンセプトの説明はBlack Hat USA 2015の発表スライドに譲るとして，ここではその利用方法と内部実装に