CN112784271B - 一种电力工控系统的控制软件逆向分析方法 - Google Patents

Abstract

本发明公开了一种电力工控系统的控制软件逆向分析方法，其步骤为：S1:利用IDA Pro提取控制软件的机器码；S2:在提取到的机器码中搜索函数序言机器码序列，并存储函数序言偏移值；S3:判断每个函数序言偏移值是否对齐，并修复未对齐的函数序言机器码序列；S4:获取修复后的机器码序列，使用IDA Pro对修复后的机器码序列进行反汇编并建立函数；S5:在修复后的机器码序列中搜索逻辑程序函数机器码序列，并存储逻辑程序函数偏移值与参数值；S6:根据参数值计算出被调用子程序地址在内存数组中的序号，在调用函数偏移处添加注释，完成函数调用关系逆向分析。本发明能够自动化修复并逆向分析控制软件内部的函数调用逻辑，不需要获取工程文件的源代码。

Description

一种电力工控系统的控制软件逆向分析方法

技术领域

本发明属于软件逆向工程技术领域，特别涉及一种电力工控系统的控制软件逆向分析方法。

背景技术

随着工业4.0时代的到来，工业互联网与工业控制系统深度融合，在电力工控系统领域工业可编程控制器的使用越来越普遍。控制软件作为可编程逻辑控制器中运行的程序代码，用于实现具体的功能，而控制软件往往缺乏源代码，欲对这样的软件进行代码审查，逆向工程几乎是唯一的技术手段。

作为运行在电力工控系统设备中的控制软件，其大部分都是基于ARM架构的二进制可执行文件。这部分二进制文件会存在汇编指令未对齐的问题，导致使用已有反汇编工具进行静态分析时，会出现无法正常反汇编的问题。并且因为控制软件中逻辑文件对子程序的调用，是通过在运行时动态获取内存中子程序的加载地址来完成的，所以一般的静态分析工具无法有效分析逻辑文件对子程序的调用关系。因此能够对未对齐的控制软件进行有效的静态分析并解析出逻辑文件对子程序的调用逻辑的逆向分析方法，是目前电力工控系统安全所需要的。

发明内容

本发明的目的在于针对现有技术存在的不足，提供一种通用性好、具有较高效率和准确度的电力工控系统的控制软件逆向分析方法。

为达到上述目的，本发明的技术方案如下：一种电力工控系统的控制软件逆向分析方法方法，该方法包括如下步骤：

S1:利用IDA Pro对控制软件进行信息提取，即提取控制软件的所有机器码；

S2:在提取到的控制软件数据中搜索函数序言机器码序列，并存储获取到的所有函数序言偏移值；

S3:地址对齐，判断每个函数序言偏移值是否能够被n整除，若不能整除则插入相应数量的填充数据，使函数序言偏移值能够被n整除；n为控制软件的汇编指令机器码长度；

S4:获取对齐后的机器码序列与满足地址对齐所填充的数据数量，调用IDA Pro在原始机器码序列中搜索一段能容纳填充数据的空闲区域；以空闲区域偏移值加上填充数据数量的数值为起始地址，取出剩余的原始机器码序列，用该部分机器码序列覆盖原机器码序列从空闲区域偏移起始的其余所有机器码序列；调用IDA Pro进行反汇编并建立函数；

S5:在对齐后的机器码序列中搜索逻辑程序函数机器码序列，搜索到后跳转到逻辑程序函数内，继续搜索动态加载子程序地址的函数，并存储该函数地址的偏移值与函数的参数，偏移值即为调用函数偏移；

S6:根据参数值计算出被调用子程序地址在内存数组中的序号，在调用函数偏移处添加注释，完成函数调用关系逆向分析。

进一步地，所述步骤S3的详细流程为：

S301:获取所有函数序言偏移值offset，并将插入字节总数sum_inject初始化为0；

S302:将函数序言偏移与已插入字节总数相加，判断相加后的数值是否对齐，即是否能被n整除；

S303:若相加后的值对齐，则此次所需插入的字节数inject_num为0，并且插入字节总数不变；

S304:若相加后的值未对齐，则将相加后的值除以n取余数，再用n减余数，所得的结果即为所需插入字节数量inject_num；

S305:在机器码序列偏移(offset+sum_inject-1)处插入inject_num个填充数据；

S306:因为IDAPro不支持插入数据，只支持修改源数据的数值，为了容纳插入的填充数据，需要计算容纳插入字节所需的空间大小empty_byte_num，详细步骤如下：

i.判断sum_inject是否可被n整除，若可被整除则跳转到ii，否则跳转到iii；

ii.计算所需空间大小empty_byte_num＝sum_inject；

iii.计算所需空间大小empty_byte_num＝(sum_inject//n+1)*n，“//”表示取商，“*”表示乘法。

进一步地，所述步骤S4中的详细流程为：

S401:获取对齐后的机器码序列modified_data和所需空间大小empty_byte_num；

S402:因为IDA Pro不支持插入数据，因此先通过IDAPro提供的接口函数find_binary搜索一块空闲区域，该区域的数值为连续empty_byte_num个“00”，返回区域偏移值fill_addr；

S403:以空闲区域偏移值fill_addr加上填充数据数量empty_byte_num的数值为起始地址，取出剩余的原始机器码序列即patch_data；

S404:利用IDA Pro提供的接口函数patch_byte，从IDA Pro已加载的区域偏移fill_addr开始，使用patch_data中的数据逐字节修改IDA Pro中已加载的控制软件的初始数据，即对齐前的机器码序列；

S405:在修改后的控制软件的机器码序列中重新搜索S2中提到的函数序言机器码序列，并存储函数序言偏移值；

S406:利用IDA Pro提供的接口函数add_fun在S405中存储的每个函数序言偏移处进行反汇编并建立函数。

进一步地，所述步骤S5中的详细流程为：

S501:搜索逻辑程序函数起始部分的机器码序列，并通过列表func_offset存储所有满足条件的逻辑程序函数偏移值offset2；

S502:在列表func_offset中每个偏移值对应的逻辑程序函数内，搜索动态加载子程序地址的函数，并存储该函数地址即调用函数地址call_fun与函数的参数rte。

进一步地，所述步骤S6中的详细流程为：

S601:根据函数参数rte的数量得到逻辑文件的数量logic_num；

S602:根据rte计算被调用子程序在内存数组中的序号i；

S603:取出被调用函数地址called_fun＝func_offset[i]，存储每对[call_fun,called_fun]，call_fun为调用函数地址；

S604:使用IDA Pro在地址call_fun处添加注释，用于指明调用关系。

与现有技术相比，本发明的优点在于：

1.对于电力工控系统中不能被现有反汇编工具静态分析的控制软件，本发明能够对其进行自动化修复，修复后的控制软件能够被静态分析。

2.因为现有静态分析工具无法逆向分析动态加载过程，所以无法解析控制软件的函数调用逻辑。本发明通过建立rte和逻辑文件的对应关系，实现自动解析控制软件的函数调用逻辑这一功能。

3.不需要控制软件的源代码，只需要可编程逻辑控制器中运行的可执行程序。

附图说明

图1为本发明一种电力工控系统的控制软件逆向分析方法的流程图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细的说明。

如图1所示，本发明提出的一种电力工控系统的控制软件逆向分析方法，包括如下步骤：

S1:利用IDA Pro接口函数get_bytes对控制软件进行信息提取，所述信息包括控制程序的所有机器码。

S2:在提取到的工程文件机器码中搜索函数序言机器码序列，并存储所有搜索到的函数序言偏移值。

具体应用在施耐德编程软件ControlExpert编译生成的控制软件时，主要搜索两个常见的ARM架构函数序言机器码序列，机器码序列如下所示：

S3:判断每个函数序言偏移值是否满足修复条件，并修复满足条件的函数序言机器码序列，具体过程包括如下步骤：

S301:获取所有函数序言偏移值offset，并将插入字节总数sum_inject初始化为0；

S302:将函数序言偏移与已插入字节总数相加，判断相加后的数值是否对齐，即是否能被4整除；

S303:若相加后的值对齐，则此次所需插入的字节数inject_num为0，并且插入字节总数不变；

S304:若相加后的值未对齐，则将相加后的值除以4取余数，再用4减余数，所得的结果即为所需插入字节数量inject_num；

S305:在机器码序列偏移(offset+sum_inject-1)处插入inject_num个“00”；

S306:计算在插入字节后，所需扩大的空间大小empty_byte_num，详细步骤如下：

i.判断sum_inject是否可被4整除，若可被整除则跳转到ii，否则跳转到iii；

ii.计算所需空间大小empty_byte_num＝sum_inject；

iii.计算所需空间大小empty_byte_num＝(sum_inject//4+1)*4。

S4:获取修复后的机器码序列，并调用IDA Pro提供的扩展功能对修复后的机器码序列进行反汇编并建立函数。

在具体实例中，IDA Pro只支持修改IDA Pro中已加载文件数据的数值，并不支持在指定的位置插入数据，因此采取的解决方法是用修复后的机器码序列逐个字节修改IDAPro中已加载数据的数值。具体过程包括如下步骤；

S401:获取修复后的机器码序列modified_data和所需空间大小empty_byte_num；

S402:通过IDA Pro提供的接口函数find_binary搜索一块区域，该区域的数值为连续empty_byte_num个“00”，返回区域偏移值fill_addr；

S403:将修改后的控制软件的数据，自偏移fill_addr+empty_byte_num到结束的这部分数据取出patch_data＝modified_data[fill_addr+empty_byte_num]；

S404:利用IDA Pro提供的接口函数patch_byte，从IDA Pro已加载的区域偏移fill_addr开始，使用patch_data中的数据逐字节修改IDA Pro中已加载的控制软件的初始数据；

S405:在修改后的控制软件的数据中重新搜索S2中提到的两个函数序言机器码序列，并存储函数序言偏移值；

S406:利用IDA Pro提供的接口函数add_fun在S405中存储的每个偏移处进行反汇编并建立函数。

S5:在对齐后的工程文件机器码序列中搜索逻辑程序函数机器码序列，搜索到后跳转到逻辑程序函数内，继续搜索动态加载子程序地址的函数，并存储该函数地址的偏移值与函数的参数，偏移值即为调用函数偏移；该步骤包括以下子步骤：

S501:初始化一个数组，数组第一个元素表示逻辑程序函数的函数名，第二个元素表示逻辑程序函数的起始部分机器码序列，第三个元素表示该逻辑程序函数的计数器。数组如下所示：

S502:通过for循环在修复后的控制软件机器码序列中，利用IDA Pro提供的接口函数find_binary搜索逻辑程序函数机器码序列，并返回搜索结果，即满足要求的函数偏移；

S503:判断返回的搜索结果是否为有效值，若为有效值则将计数器加1，并使用IDAPro提供的接口函数set_name对函数进行重命名；

S504:通过数组存储搜索到的函数偏移。

S6:根据参数值计算出被调用子程序地址在内存数组中的序号，在调用函数偏移处添加注释，完成函数调用关系逆向分析；该步骤包括以下子步骤：

S601:根据函数参数rte的数量得到逻辑文件的数量logic_num，详细步骤如下所示：

i.根据S504中存储的函数偏移数组，获取数组最后一个元素，即该数组的最后一个函数偏移值；

ii.跳转到该函数，在该函数范围内搜素指定机器码序列并返回偏移值offset4，机器码序列如下所示；

iii.获取偏移值offset4，偏移offset_rte＝offset4-12处的汇编指令为用来加载rte值，如下所示，地址0x38A4为上一步搜索的机器码序列返回的偏移值，地址0x3898即为加载rte的汇编指令；

iv.通过IDAPro提供的接口函数print_operand获取rte的数值，并存储；

v.根据rte的数量得到逻辑文件的数量logic_num；

S602:通过公式(rte-(71+2*logic_num))/2计算出序号i；

S603:取出偏移called_fun＝func_offset[i]，存储每对[call_fun,called_fun]，偏移call_fun为调用函数地址，called_fun为被调用函数地址；

S604:使用IDAPro提供的接口函数set_cmt，在地址call_fun处添加注释“callxxxx,Address called_fun”，用于表明函数调用关系。

本实例所述的一种电力工控系统的控制软件逆向分析方法，无需控制软件源代码，只需要获取可编程逻辑控制器中执行的控制软件；利用实例所述方法可自动化修复原本无法被静态分析的控制软件；通过建立rte和逻辑文件的对应关系，可自动化解析函数间的调用关系，是得对控制软件的逆向分析更加简单和清晰，可有效提高逆向分析效率。

显然，上述实施例为针对施耐德编程软件ControlExpert编译生成的工程文件所进行的举例说明，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (5)

1.一种电力工控系统的控制软件逆向分析方法，其特征在于，包括：

S1:利用IDA Pro对控制软件进行信息提取，即提取控制软件的所有机器码；

S2:在提取到的控制软件数据中搜索函数序言机器码序列，并存储获取到的所有函数序言偏移值；

S3:地址对齐，判断每个函数序言偏移值是否能够被n整除，若不能整除则插入相应数量的填充数据，使函数序言偏移值能够被n整除；n为控制软件的汇编指令机器码长度；

S4:获取对齐后的机器码序列与满足地址对齐所填充的数据数量，调用IDA Pro在原始机器码序列中搜索一段能容纳填充数据的空闲区域；以空闲区域偏移值加上填充数据数量的数值为起始地址，取出剩余的原始机器码序列，用该部分机器码序列覆盖原机器码序列从空闲区域偏移起始的其余所有机器码序列；调用IDA Pro进行反汇编并建立函数；

S5:在对齐后的机器码序列中搜索逻辑程序函数机器码序列，搜索到后跳转到逻辑程序函数内，继续搜索动态加载子程序地址的函数，并存储该函数地址的偏移值与函数的参数，偏移值即为调用函数偏移；

S6:根据参数值计算出被调用子程序地址在内存数组中的序号，在调用函数偏移处添加注释，完成函数调用关系逆向分析。

2.根据权利要求1所述的电力工控系统的控制软件逆向分析方法，其特征在于，所述步骤S3的详细流程为：

S301:获取所有函数序言偏移值offset，并将插入字节总数sum_inject初始化为0；

S302:将函数序言偏移值 与已插入字节总数相加，判断相加后的数值是否对齐，即是否能被n整除；

S303:若相加后的值对齐，则此次所需插入的字节数inject_num为0，并且插入字节总数不变；

S304:若相加后的值未对齐，则将相加后的值除以n取余数，再用n减余数，所得的结果即为所需插入字节数量inject_num；

S305:在机器码序列偏移(offset+sum_inject-1)处插入inject_num个填充数据；

S306:为了容纳插入的填充数据，计算容纳插入字节所需的空间大小empty_byte_num，详细步骤如下：

i.判断sum_inject是否可被n整除，若可被整除则跳转到ii，否则跳转到iii；

ii.计算所需空间大小empty_byte_num＝sum_inject；

iii.计算所需空间大小empty_byte_num＝(sum_inject//n+1)*n，“//”表示取商，“*”表示乘法。

3.根据权利要求2所述的电力工控系统的控制软件逆向分析方法，其特征在于，所述步骤S4中的详细流程为：

S401:获取对齐后的机器码序列modified_data和所需空间大小empty_byte_num；

S402:通过IDA Pro提供的接口函数find_binary搜索一块空闲区域，该区域的数值为连续empty_byte_num个“00”，返回区域偏移值fill_addr；

S403:以空闲区域偏移值fill_addr加上填充数据数量empty_byte_num的数值为起始地址，取出剩余的原始机器码序列即patch_data；

S404:利用IDA Pro提供的接口函数patch_byte，从IDA Pro已加载的区域偏移fill_addr开始，使用patch_data中的数据逐字节修改IDA Pro中已加载的控制软件的初始数据，即对齐前的机器码序列；

S405:在修改后的控制软件的机器码序列中重新搜索S2中提到的函数序言机器码序列，并存储函数序言偏移值；

S406:利用IDA Pro提供的接口函数add_fun在S405中存储的每个函数序言偏移处进行反汇编并建立函数。

4.根据权利要求1所述的电力工控系统的控制软件逆向分析方法，其特征在于，所述步骤S5中的详细流程为：

S501:搜索逻辑程序函数起始部分的机器码序列，并通过列表func_offset存储所有满足条件的逻辑程序函数偏移值offset2；

S502:在列表func_offset中每个偏移值对应的逻辑程序函数内，搜索动态加载子程序地址的函数，并存储该函数地址即调用函数地址call_fun与函数的参数rte。

5.根据权利要求4所述的电力工控系统的控制软件逆向分析方法，其特征在于，所述步骤S6中的详细流程为：

S601:根据函数参数rte的数量得到逻辑文件的数量logic_num；

S602:根据rte计算被调用子程序在内存数组中的序号i；

S603:取出被调用函数地址called_fun＝func_offset[i]，存储每对[call_fun,called_fun]，call_fun为调用函数地址；

S604:使用IDA Pro在地址call_fun处添加注释，用于指明调用关系。

Images