pandare/panda

PANDA 镜像文档

镜像概述

PANDA（Platform for Architecture-Neutral Dynamic Analysis）是一个基于 QEMU 全系统模拟器构建的开源动态分析平台，旨在提供架构无关的全系统动态分析能力。通过记录和回放系统执行过程，PANDA 支持迭代式、深度的全系统分析，其紧凑的回放日志（如 FreeBSD 启动的 90 亿条指令仅需数百 MB）可共享，确保实验可重复。借助 QEMU 对 13 种 CPU 架构的支持，PANDA 能将多样化指令集转换为 LLVM IR 进行统一分析，同时提供插件架构简化复杂分析开发。

核心功能与特性

全系统执行记录与回放

• 支持捕获系统执行过程并精确回放，便于反复分析特定行为
• 回放日志体积小，易于存储和共享，保障分析可重复性

架构无关分析能力

• 通过 LLVM IR 实现跨架构统一分析（如动态污点分析），支持多种 CPU 架构
• 基于 QEMU 模拟，可访问 guest 系统中所有执行代码和数据

插件化开发架构

• 提供简单的插件接口，支持功能复用与复杂分析开发
• 插件间可共享功能，降低分析工具开发复杂度

PyPANDA 支持

• 提供 Python 接口（PyPANDA），简化基于 Python 的分析脚本开发
• 支持通过 pip 安装，快速集成到 Python 工作流

使用场景

• 安全研究：***代码分析、漏洞挖掘、***溯源等动态行为分析
• *******：全系统执行过程回放与深度指令级分析
• 跨架构测试：在单一平台上验证多 CPU 架构下的系统行为
• 学术实验：可重复的全系统动态分析实验，支持论文结果复现

使用方法

Docker 镜像说明

PANDA 提供两种 Docker 镜像，基于 Ubuntu 20.04 构建：

• pandare/panda：用户镜像，包含 PANDA 与 PyPANDA 运行时依赖，无构建产物和源代码，体积较小
• pandare/pandadev：开发镜像，包含完整源代码（/panda 目录）、构建产物及所有依赖，适用于开发场景

镜像获取与使用

1. 用户镜像（pandare/panda）

从 Docker Hub 拉取

bash
docker pull pandare/panda

验证安装

bash
docker run --rm pandare/panda panda-system-i386 --help

从源码构建

bash
# 需启用 BuildKit
DOCKER_BUILDKIT=1 docker build --target=panda -t panda .
# 验证构建结果
docker run --rm panda panda-system-i386 --help

2. 开发镜像（pandare/pandadev）

从 Docker Hub 拉取

bash
docker pull pandare/pandadev

验证安装

bash
docker run --rm pandare/pandadev /panda/build/panda-system-i386 --help

从源码构建

bash
DOCKER_BUILDKIT=1 docker build --target=developer -t pandadev .
# 验证构建结果
docker run --rm pandadev panda-system-i386 --help

基本运行示例

以 i386 架构 guest 系统为例，启动 PANDA 分析：

bash
# 使用用户镜像运行（需提前准备 guest 镜像文件）
docker run --rm -v $(pwd)/guest.img:/guest.img pandare/panda panda-system-i386 -m 2G -hda /guest.img -monitor stdio

限制

LLVM 支持

PANDA 依赖 S2E 项目的 LLVM 架构将 QEMU 的 TCG 中间代码转换为 LLVM IR，当前支持 LLVM 10，主要用于动态污点分析等复杂功能。

跨架构记录/回放

记录与回放仅支持相同地址长度的 PANDA 构建（如 32 位构建的 trace 无法在 64 位构建上回放），建议优先使用 64 位镜像。

文档与支持

官方文档

• 完整手册：https://github.com/panda-re/panda/blob/master/panda/docs/manual.md%EF%BC%88%E5%90%AB%E8%AE%B0%E5%BD%95/%E5%9B%9E%E6%94%BE%E7%BB%86%E8%8A%82%E3%80%81%E6%8F%92%E4%BB%B6%E6%9E%B6%E6%9E%84%E3%80%81%E5%9B%9E%E8%B0%83%E5%88%97%E8%A1%A8%E7%AD%89%EF%BC%89
• 插件文档：各插件目录下的 README.md（参见 https://github.com/panda-re/panda/tree/master/panda/plugins%EF%BC%89
• PyPANDA 文档：https://github.com/panda-re/panda/blob/master/panda/python/README.md

社区支持

• Slack 频道：通过 邀请链接 请求加入
• 邮件列表：订阅 panda-users 邮件列表

许可协议

PANDA 基于 https://github.com/panda-re/panda/blob/master/LICENSE 发布，由 MIT Lincoln Laboratory、NYU 和东北大学合作开发。