angr初探

前言

在搞fuzz的时候发现了一个比较难以解决的问题。例如if(*buf == "\xde\xad\xbe\xef")，我们如果想通过纯fuzz去进入这个if的分支，那么概率极其微小。这就使我不得不去尝试通过一些其他的方法去解决这个问题。于是我想到了一个比较出名符号执行的工具————angr。这篇文章记录笔者入门angr的过程。

环境安装

angr 的安装

angr的安装非常简便，通过pip即可，不过貌似angr因为会依赖很多其他的库，所以它的创作者推荐把他装在虚拟环境当中，不过笔者就直接装在虚拟机里了。

pip3 install angr

学习环境安装

我这里用的是github上的一个项目对angr进行入门学习。

git clone https://github.com/jakespringer/angr_ctf.git

angr 基本使用方法

angr.Project

这是我们分析一个二进制文件的第一步，就是创建一个angr.Project类，我们的后续操作都将基于这个类展开。并且我们可以通过所创建的project获取二进制文件的一些基本信息。如：project.arch可以获得这个二进制文件的架构，project.entry可以获得这个二进制文件的起始地址，proj.filename获得这个二进制文件的名字。

例如：

import sys

import angr

bin_path = "./00_angr_find"

project = angr.Project(bin_path)

print(project.arch)

print(hex(project.entry))

print(project.filename)

结果：

<Arch X86 (LE)>

0x80490b0

./00_angr_find

project.factory

project.factory为我们提供了一些实用的类的构造器

project.factory.block(address)

angr是以基本块为单位进行的分析，project.factory.block(address)可以获得给定地址所在的基本块。.pp()可以获得该基本块的汇编代码。

例如：

block = project.factory.block(project.entry)

block.pp()

结果：

         _start:

80490b0  endbr32

80490b4  xor     ebp, ebp

80490b6  pop     esi

80490b7  mov     ecx, esp

80490b9  and     esp, 0xfffffff0

80490bc  push    eax

80490bd  push    esp

80490be  push    edx

80490bf  call    0x80490e7

project.factory.entry_state()

project.factory.entry_state()用来获取一个程序的初始执行状态。

project.factory.blank_state(addr)

project.factory.blank_state(addr=...)用来获取一个程序从指定地址开始执行的空白状态。

state - 模拟执行状态

无论是project.factory.entry_state()，还是project.factory.blank_state(addr=...)，都会返回一个模拟执行状态，我们可以把它存放到某个变量里，如存到state里。

state.regs

state.regs可以获取一些寄存器的值，如state.regs.esp即可获得esp的值。我们可以对其直接进行加减操作。

例如：

init_state = project.factory.entry_state()

print(init_state.regs.esp)

init_state.regs.esp-=12

print(init_state.regs.esp)

结果：

<BV32 0x7ffeffac>

<BV32 0x7ffeffa0>

state.memory

state.memory是访问内存接口的一种形式。state.memory.load(addr, size_in_bytes)：获取该地址上指定大小的位向量。state.memory.store(addr, bitvector)：将一个位向量存储到指定地址、

state.posix

state.posix是POSIX相关的环境接口，例如state.posix.dumps(fileno)获取对应文件描述符上的流。

simulation_manager - 模拟执行器

angr将一个状态的执行方法独立成一个SimulationManager类，有以下两种写法：

1、simgr = proj.factory.simgr(state)

2、simgr = proj.factory.simulation_manager(state)

simgr.step()

simgr.step()：以基本块为单位的单步执行。

simgr.explore(find)

simgr.explore(find)：路径探索，即执行到指定地址并进行约束求解，将执行完成的状态放在simgr.found列表中，若无法求解则该列表为空。

巴特西