re-binaryninja

# Binary Ninja 逆向工作流 ## 何时使用 / 何时不用 - 用：需要 MLIL 中间语言（比裸反汇编可读得多）阅读函数逻辑；Python 脚本自动化标注/批处理；按预算选型（个人版/商业版） - 用：需要 DFG 数据流图（寄存器/常量传播路径可视化）追踪单条数据的流向（密钥、标志位） - 用：多架构目标（x86/ARM/MIPS/RISC-V/PowerPC 等常见架构均支持，移动/嵌入式目标可直接分析） - 用：`RE_DECOMPILER=binaryninja` 场景下作为反编译器 - 不用：已有 Ghidra/IDA 工作流且无选型动机（按 `RE_DECOMPILER` 会话变量，[[re-ghidra]] 默认） - 不用：纯命令行快速分析（[[re-radare2]] 更轻）；无头批处理最简场景（[[re-ghidra]] analyzeHeadless 生态更成熟） - 不用：动态调试为主的目标（BN 内置调试器处于实验阶段——调试走 [[re-gdb]] / [[re-x64dbg]] / [[re-lldb]]） - 不用：个人版做大规模无头自动化（headless 是商业版能力，见 [[gotchas]]） ## 工具准备 参考 [[re-analyze/platform-tips]]——Binary Ninja 静态分析免沙箱；脚本触发动态执行时默认沙箱内。 ### Binary Ninja（商业，有个人版） - 下载/购买: 官网 binary.ninja（Commercial 商业版 / Personal 个人版；个人版仅限个人用途，自动化与部分功能按版本受限；另有免费 Free 档） - Free 版: 无 API 与插件访问、IL 受限；支持架构 x86 / x86_64 / armv7+Thumb2 / armv8——需要 MLIL 或脚本自动化时按预算升档 - Windows: 安装器直接运行；macOS: `brew install --cask binary-ninja`（社区 cask，需已有 license）；Linux: 官网 tar 包解压运行 `./binaryninja` - 容器格式: 直接导入 PE/ELF/Mach-O/Dalvik/固件 ROM 等（不需要单独解包步骤）；带壳目标例外（壳段未解密，先脱壳） - 验证: 打开任意样本完成自动分析，`Functions` 面板有函数列表；`Options > About` 显示 license 类型 - Linux 无图形环境: GUI 版需要 X 显示（`xvfb-run ./binaryninja` 可临时跑）；批量任务直接走 headless（商业版），headless 不需要显示器 - 版本差异: 6.x 为当前主线；6.0 起插件管理器重构为 Extension Manager（旧 `pluginmanager` 仅保留 shim）、bundled Python 升至 3.13（首次覆盖 Linux）而外部 Python 最低仍 3.10——2.x → 3.x → 4.x → 6.x 主版本间有破坏性 API 变更，脚本依赖先查 `core_version()` 与发行说明（见 [[gotchas]]） ### binaryninja Python API - 安装: Binary Ninja 安装目录下运行 `python install_api.py`（把 API 注册进 Python 环境；PyPI 无 binaryninja 包，`pip install binaryninja` 会失败） - 安装脚本会检测/提示匹配的 Python 版本——版本不匹配时脚本报错或注册失败，按提示换 Python 版本 - 验证: `python3 -c "import binaryninja; print(binaryninja.core_version())"` 输出与软件版本一致的版本号 - 无头批处理（商业版）: 没有 `binaryninja-headless` 可执行文件——正路是 `install_api.py` 注册后直接写脚本 `binaryninja.load()`（见 [[commands]] 序列 2）；headless license 走官方独立下载包（无 GUI，仅 headless license 可下载） ## 操作步骤 1. **导入与分析**： - `File > Open` 选样本 → 自动分析（底部进度条）→ 左侧 `Functions` / `Data` / `References` 视图确认分析结果 - 确认: 入口函数（entry）被识别、导入表（`Imports` 视图）有内容、字符串（`Strings` 视图）可见 - 分析异常（函数少/字符串乱）→ 可能带壳，先 [[re-packer-id]] / [[re-anti-analysis]] - 分析选项: `Options > Analysis` 勾选/关闭 pass——首次导入大文件或带混淆样本时先看这里，默认全开会慢 2. **MLIL 阅读（IL 视图切换）**： - 双击函数进入反编译视图（默认 HLIL 高语言 IL）；`i` 在反汇编/LLIL/MLIL/HLIL 间循环，或右下角 `Options` 菜单选 IL 级别 - MLIL 特点: 变量显式化（`rax = rax ^ 0xdeadbeef`）、类型恢复、条件跳转语义化——比裸反汇编可读，重点函数先看 MLIL 再下结论 - MLIL 示例（反汇编 vs MLIL）：`cmp eax, 0x1337 / jne L1 / mov byte [rdi], 1 / jmp L2 / L1: mov byte [rdi], 0 / L2: ...` → MLIL 直接呈现 `if (rax == 0x1337) *(uint8_t*)rdi = 1; else *(uint8_t*)rdi = 0;`——读逻辑不用逐条跟跳转 - 反编译不清晰时降级: MLIL → LLIL（`View > IL > LLIL`，低语言 IL，保留指令级细节）→ 反汇编（`Space`/汇编视图）逐层核对 - 注意: `m` 键在 Binary Ninja 里是「整数应用枚举显示」，不是 MLIL 切换——切 IL 用 `i` 3. **重命名 / 类型**： - 重命名: 光标在符号/变量上 `n`（或右键 Rename）——函数、变量、全局数据均可 - 改类型: `y`（如 `void *`、`DWORD`、`int (*)(void *, size_t)`），类型传播自动改善后续反编译质量 - 定义结构体: `Types` 面板新建 Structure → 应用到变量/指针 → 字段名随类型传播进反编译视图 - 其他类型快捷键: `o` 设指针引用、`a` 设字符数组、`d` 循环整型宽度、`*` 建数组（见 [[commands]] 快捷键表） 4. **Python 脚本（自动化标注）**： ```python import binaryninja bv = binaryninja.load("sample.bin") bv.update_analysis_and_wait() # 无头模式：手动触发完整分析 for f in bv.functions: if f.analysis_skip_reason is None and f.medium_level_il: n = len(list(f.medium_level_il.instructions)) if n > 200: print(f"big function: {f.name} @ {hex(f.start)} len={n}") ``` - 批量改名: `bv.get_function_at(0x401000).name = "check_license"` 后 `bv.save()` 写回 - 导出反编译文本: `str(f.high_level_il)` 直接拿 HLIL 伪代码字符串——批量导出函数逻辑的最快方式 - 插件: 6.x 经 Extension Manager 管理（旧 `File > Manage Plugins` 的职责并入其中）；插件目录按平台：Windows `%APPDATA%\Binary Ninja\plugins`、Linux `~/.binaryninja/plugins`、macOS `~/Library/Application Support/Binary Ninja/plugins`（macOS 非 `~/.binaryninja`，放错不会被加载） - 自写脚本先 `File > Python` 面板试跑（能看到 `print` 输出与异常），稳定后再转插件或无头脚本——调试脚本比跑完看结果快得多 - 无头模式: 商业版可用 headless——没有 `binaryninja-headless` CLI，正路是 `install_api.py` 注册后写脚本（`binaryninja.load()` + `update_analysis_and_wait()`，即上文代码结构）；headless license 用官方独立下载包；个人版受限时用 GUI 内 `File > Python` 面板执行同样代码 - 无头脚本出错不会弹窗——异常直接打到 stderr/日志文件，排错看输出尾部与 `bv.log_info` 痕迹 5. **字符串/引用定位链**： - `Strings` 视图找提示串 → 双击进反汇编 → 右键 `Show References`（或 `xrefs` 面板）→ 跳到引用函数 → MLIL 阅读 - 字符串多时按引用数/长度排序（点列头）优先处理被多处引用的串——通常是错误提示/格式串等关键节点 - 与 [[re-ida]] 的 Alt+T→x→F5、[[re-radare2]] 的 izz→axt→pdf 同思路；批量标注用 `bv.get_strings()` + `f.get_callers()` 脚本化（见 [[commands]] 序列 2） 6. **DFG 数据流图（单值流向追踪）**： - 在 MLIL/HLIL 视图中右键某条指令 → `Show DFG`——从该指令出发的变量/常量传播路径图 - 场景: 追踪密钥/标志位从加载到比较的完整路径；DFG 比逐条读 MLIL 快，适合「这个值从哪来/去哪了」问题 - 配合 `x`/右键 `Show References` 交叉验证调用边界；DFG 视图 `Esc` 退出返回原视图 7. **证据核对（收尾）**：重命名/类型/注释随 `bv.save()` 落盘存档；无头导出产物（函数清单/HLIL 文本）与 [[re-triage]] 初勘值对照；关键结论写 [[re-analyze/analysis-contract]]——标注要能还原成报告，别只留在项目里 8. **交叉验证（多反编译器互证）**：同一函数用 [[re-ghidra]] / [[re-ida]]（若有）反编译对比——MLIL 与 Ghidra 伪代码结构一致时结论可信度提升；差异大时回 LLIL/汇编核对，优先相信汇编层证据 6. **对比选型（价格 / 插件生态）**： - 价格: Binary Ninja（商业付费，个人版便宜但限个人用途）vs [[re-ida]]（最贵）vs [[re-ghidra]]（免费开源）vs [[re-radare2]]（免费开源 CLI） - 生态: Ghidra 社区最大、脚本（Java/Python/无头）最成熟；IDA idapython 插件历史最久；Binary Ninja 插件数较少但 API 设计现代（Python 优先） - 决策: 预算敏感 → Ghidra/radare2；要 MLIL 可读性 + Python API → Binary Ninja；已有 IDA 授权 → 保持 IDA，本技能只在换栈时用 ## 跨域联合 - [[re-binary-core]]：工作流第 5 步反编译器备选（`RE_DECOMPILER=binaryninja`） - [[re-ctf]]：逆向题反编译与脚本求解 - [[re-malware]]：恶意样本深度分析（Python 批量标注导出） - [[re-cracking]]：授权/校验算法还原 - [[re-kernel]]：驱动反编译可选工具（与 [[re-ghidra]] / [[re-ida]] 三选一） - [[re-android-native]] / [[re-ios]]：移动原生库（ARM64 指令 + 符号少）分析时 MLIL 可读性价值明显 - [[re-game]]：游戏二进制（反编译 + 脚本批量标注）可选工具 - 与 [[re-ghidra]] / [[re-ida]] 间无直接工程互导格式，换栈时按函数手搬或脚本统一标注 ## 常见坑与陷阱 - **MLIL 对混淆代码失真**：现象——花指令/控制流平坦化样本反编译出诡异结构（死代码、恒假条件）；原因——MLIL 基于数据流重建，混淆破坏控制流信息；对策——降到 LLIL/汇编交叉验证，或先 [[re-deobfuscate]] 再导入 - **脚本 API 版本差异**：现象——`import binaryninja` 报版本错/行为与文档不符；原因——pip 包与安装软件主版本不匹配（API 大版本间不兼容）；对策——重跑安装目录 `install_api.py` 对齐版本，`core_version()` 与 About 版本比对 - **无头模式用法**：现象——个人版 `binaryninja.headless` 不存在；原因——headless 自动化是商业版能力，个人版裁剪；对策——个人版用 GUI 内 `File > Python` 面板跑脚本，或脚本里只做 `load` + `update_analysis_and_wait` 的替代路径 - **大二进制首次分析慢/内存高**：现象——100MB+ 样本分析数分钟甚至卡死；原因——默认分析 pass 全开；对策——`Options > Analysis` 关掉多余 pass（如只保留 dataflow 与 decompile 需要的最小集），或只对重点函数做分析（`f.analysis_skip_override` 思路） - **patch 后结果没变（忘了重分析）**：现象——`bv.write` 改了字节，反编译输出还是旧的；原因——分析结果缓存未失效；对策——改完调用 `bv.update_analysis_and_wait()` 强制重分析，或重新加载 - **项目库与样本分离**：`.bndb` 项目库保存全部标注，样本本身不变——分发标注时传 .bndb（注意版本兼容），别指望样本里带上标注；写回样本字节是另一回事（脚本里 `bv.write` + 保存按官方 patch 流程走） - **宽字符/UTF-16 字符串乱码**：现象——`Strings` 视图中文/宽字符串显示乱码或分裂；原因——数据变量宽度判定错误；对策——选中数据后右键设 2 字节宽（或脚本 `bv.get_data_var_at` 后改类型），再触发分析 - 版本差异、插件/无头细节与快捷键对照见 [[gotchas]] / [[commands]]