探索未知，尽在Ghidralligator

2024-05-22 20:30:02作者：薛曦旖Francesca

Ghidralligator Logo

Ghidralligator 是一个基于C++的多架构Pcode模拟器，利用了Ghidra的libsla库，专为使用AFL++进行模糊测试而设计。它能高效处理运行于各类罕见架构上的二进制文件的模糊测试，使您无需担心性能问题。

项目简介

Ghidralligator旨在填补现有模拟器与“黑盒”模拟器之间的空白。前者需要大量的设置和手动修改，而后者则不易扩展并不适合特定或非主流应用。它的主要目标是针对闭源二进制代码，特别是用于嵌入式设备应用程序或固件的安全研究，这些通常运行在各种不常见的架构上。

作为afl_ghidra_emu的升级版，Ghidralligator在执行速度和功能方面有了显著提升，如集成asan以检测内存溢出等问题。

项目技术分析

Ghidralligator的核心在于其可扩展性。用户只需编写相应的Sleigh规范文件，就能轻松模拟几乎任何架构。它支持两种模式：replay（仅启动一次程序）和fuzz（通过AFL进行模糊测试）。此外，还提供了配置文件来定义内存映射布局和初始程序状态，并允许用户自定义钩子（hooks），以适应特定需求。

应用场景

漏洞研究：对于无法获取源码的二进制文件，Ghidralligator可以帮助发现潜在的漏洞。
嵌入式设备安全：可以对运行在如RISC-V、MIPS等非主流架构上的固件进行安全性评估。
软件兼容性测试：验证二进制文件在不同硬件平台下的行为一致性。

项目特点

多架构支持：通过Sleigh规范文件，轻松覆盖多种处理器架构。
高性能：即使在模拟罕见架构时，仍能保持良好的运行效率。
asan集成：内置地址空间布局随机化（ASAN），可自动检测内存错误。
易扩展：灵活的配置文件和钩子系统，使得定制化测试变得简单。
与AFL++无缝集成：直接支持AFL++的模糊测试框架，简化工作流程。

开始你的旅程

要开始使用Ghidralligator，首先确保你的Linux系统安装了GCC 17或更高版本。然后按照项目中的说明克隆并安装AFL++，接着编译Ghidralligator及其内含的依赖项。你可以从官方Ghidra仓库下载已有的.sla文件，或者自己创建。

运行示例脚本run_examples.sh可以快速体验其功能，并查看ASAN如何捕获异常行为。为了模糊测试，只需将-m fuzz选项添加到命令行中，配合AFL++即可。

# 演示模式运行
$ ./ghidralligator -m replay -c examples/x86/config.json -I -i examples/x86/input/normal_use_case.bin

# 使用AFL++进行模糊测试
$ AFL_SKIP_BIN_CHECK=1 afl-fuzz -D -i ./afl_inputs -o ./afl_outputs/ -- ./ghidralligator -m fuzz -c examples/x86/config.json

了解更多详细信息，请查阅项目文档，包括配置文件和用户钩子的写作指南。