搜索

[10553] 2016-09-28_逆向工厂（二）：静态分析技术

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-09-28_逆向工厂（二）：静态分析技术 逆 向 工 厂 （ 二 ） ： 静 态 分 析 技 术 追 影 人   F r e e B u f   2 0 1 6 - 0 9 - 2 8 *   本 文 原 创 作 者 ： 追 影 人 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 [ 逆 向 工 厂 ] 第 一 章 节 中 介 绍 了 逆 向 技 术 的 相 关 基 础 知 识 ， 其 中 提 到 逆 向 的 两 种 形 式 ： 静 态 分 析 、 动 态 分 析 。 本 章 将 对 静 态 分 析 技 术 进 行 讲 解 ， 重 点 阐 述 静 态 分 析 的 原 理 方 法 ， 程 序 的 静 态 结 构 ， 常 见 流 程 控 制 语 句 的 静 态 反 编 译 形 态 本 章 将 对 静 态 分 析 技 术 进 行 讲 解 ， 重 点 阐 述 静 态 分 析 的 原 理 方 法 ， 程 序 的 静 态 结 构 ， 常 见 流 程 控 制 语 句 的 静 态 反 编 译 形 态 ， 并 且 通 过 实 例 来 掌 握 利 用 ， 并 且 通 过 实 例 来 掌 握 利 用 I D A 逆 向 工 具 的 静 态 逆 向 分 析 技 术 。 逆 向 工 具 的 静 态 逆 向 分 析 技 术 。 一 、 静 态 分 析 原 理 与 方 法 一 、 静 态 分 析 原 理 与 方 法 上 一 篇 章 介 绍 到 ， 程 序 运 行 前 需 要 将 硬 盘 内 编 译 好 的 程 序 文 件 装 载 进 内 存 ， 然 后 将 指 令 送 入 C P U 执 行 ， 此 时 程 序 就 像 “ 复 活 ” 一 样 ， 按 照 指 令 的 “ 先 后 顺 序 ” 开 始 工 作 ， 这 便 是 程 序 的 “ 动 态 ” 。 与 其 相 反 ， 静 态 分 析 就 是 在 程 序 尚 未 运 行 的 状 态 时 进 行 逆 向 分 析 的 行 为 。 但 是 ， 静 态 分 析 并 非 在 硬 盘 上 直 接 进 行 ， 仍 需 将 文 件 存 入 内 存 进 行 分 析 ， 只 是 此 时 程 序 文 件 只 是 单 纯 作 为 数 据 被 逆 向 软 件 加 载 。 1 、 、 “ 简 单 暴 力 简 单 暴 力 ” 的 静 态 分 析 的 静 态 分 析 既 然 静 态 分 析 只 是 把 程 序 作 为 数 据 文 件 加 载 进 逆 向 软 件 ， 进 行 查 看 分 析 ， 那 岂 不 是 用 U l t r a E i d t 这 类 文 本 编 辑 软 件 直 接 查 看 即 可 。 上 图 是 使 用 U E 打 开 的 某 程 序 ， 可 以 看 到 程 序 的 所 有 数 据 ， 通 过 查 看 文 件 P E 头 可 以 获 取 所 有 头 信 息 ， 一 些 文 件 信 息 查 看 工 具 也 正 是 利 用 该 原 理 ， 直 接 读 取 静 态 文 件 按 照 P E 格 式 提 取 相 对 应 的 信 息 。 上 图 所 展 示 的 区 域 是 程 序 的 代 码 段 ， 这 些 看 似 很 乱 的 字 节 码 其 实 都 对 应 着 一 条 条 的 汇 编 语 句 ， 在 这 里 U E 只 是 很 粗 暴 的 将 原 始 编 译 数 据 进 行 了 展 示 ， 并 没 有 进 行 反 编 译 处 理 。 Q : 静 态 分 析 中 静 态 分 析 中 U E 这 种 过 于 这 种 过 于 “ 暴 力 暴 力 ” 的 工 具 可 以 干 什 么 的 工 具 可 以 干 什 么 ? 最 常 用 的 便 是 使 用 U E 处 理 字 符 串 ， 使 用 “ 查 找 ” 功 能 搜 索 标 题 关 键 字 。
在 U E 中 修 改 标 题 ， 保 存 后 再 运 行 ， 程 序 效 果 如 下 ： 你 可 以 利 用 这 样 的 手 段 自 己 随 意 修 改 程 序 的 字 串 信 息 包 括 各 种 版 权 信 息 等 （ 当 然 小 心 侵 权 哈 ） ， 最 重 要 的 是 一 些 程 序 会 将 k e y 等 重 要 信 息 以 明 文 的 形 式 存 储 ， 所 以 使 用 U E 可 以 找 到 这 些 k e y 。 这 样 做 的 前 提 是 ， 字 串 均 以 明 文 形 式 存 储 ， 未 加 密 处 理 ， 但 通 常 商 业 程 序 会 通 过 “ 壳 ” 保 护 技 术 对 程 序 加 密 保 护 ， 关 于 “ 壳 ” 方 面 的 知 识 在 后 续 篇 章 介 绍 。 2 、 、 “ 高 级 高 级 ” 静 态 分 析 静 态 分 析 相 比 上 面 “ 原 生 ” 字 节 码 ， 童 鞋 更 愿 意 阅 读 “ 高 级 ” 点 的 语 言 。 既 然 同 一 种 架 构 平 台 的 字 节 码 与 汇 编 语 句 是 一 一 对 应 的 ， 那 么 根 据 这 个 原 理 便 可 将 “ 二 进 制 ” 文 件 反 编 译 成 汇 编 语 言 。
上 图 是 I D A 逆 向 工 具 反 编 译 结 果 ， 相 比 U E 的 “ 暴 力 ” ， 这 个 非 常 人 性 化 ， 在 第 三 节 中 重 点 介 绍 该 软 件 的 一 些 知 识 。 相 比 C C + + 这 类 编 译 型 程 序 ， C # 等 带 有 解 释 运 行 的 程 序 静 态 逆 向 的 结 果 就 更 为 “ 高 级 ” 了 ， 甚 至 堪 比 源 代 码 ， 下 图 便 是 某 安 全 公 司 分 析 国 产 敲 诈 者 病 毒 ， 该 病 毒 为 C # 编 写 。 可 清 晰 看 到 程 序 的 执 行 流 程 ， 心 疼 作 者 没 有 用 c 写 ， 暴 露 的 这 么 赤 裸 裸 。 （ 其 实 不 管 用 什 么 语 言 写 ， 只 要 没 有 刻 意 去 做 代 码 保 护 ， 都 容 易 被 逆 向 分 析 出 完 整 流 程 。 ） 二 、 代 码 结 构 二 、 代 码 结 构 上 一 章 我 们 讲 到 h e l l o w o r l d 程 序 ， 本 节 将 源 代 码 做 一 些 改 变 后 继 续 。 将 编 译 好 的 的 程 序 用 I D A 打 开 ， 代 码 的 整 体 结 构 如 下 图 ： 由 图 可 知 ， 程 序 先 是 执 行 _ _ t m a i n C R T S t a r t u p 函 数 ， 然 后 执 行 m a i n 函 数 。 _ _ t m a i n C R T S t a r t u p 函 数 反 汇 编 代 码 ：
_ _ t m a i n C R T S t a r t u p 函 数 中 调 用 m a i n 函 数 ， 在 调 用 m a i n 函 数 之 前 ， 程 序 已 经 执 行 了 一 部 分 指 令 ， 例 如 ： 全 局 对 象 的 构 造 函 数 ， 一 些 全 局 变 量 、 对 象 和 静 态 变 量 、 对 象 的 空 间 分 配 和 赋 初 值 ， 一 些 初 始 化 代 码 （ 如 设 置 环 境 变 量 等 ） 。 m a i n 函 数 执 行 结 束 后 返 回 到 _ _ t m a i n C R T S t a r t u p 函 数 ， 执 行 一 些 收 尾 工 作 ， 如 ： 全 局 对 象 的 析 构 函 数 ， 释 放 空 间 、 释 放 资 源 使 用 权 等 操 作 。 总 结 ： 程 序 在 执 行 m a i n 函 数 前 已 经 有 代 码 运 行 ， m a i n 函 数 的 结 束 不 代 表 进 程 的 结 束 。 h e l l o w o r l d 程 序 的 区 段 信 息 ： 程 序 的 区 段 信 息 ：
h e l l o w o r l d 程 序 四 个 区 段 程 序 四 个 区 段 : 1 、 、 . t e x t ， 默 认 的 代 码 区 段 ， 它 的 内 容 全 是 指 令 代 码 ， 默 认 的 代 码 区 段 ， 它 的 内 容 全 是 指 令 代 码 2 、 、 . i d a t a ， 包 含 其 他 外 来 的 ， 包 含 其 他 外 来 的 D L L 的 函 数 及 数 据 信 息 的 函 数 及 数 据 信 息 , 即 输 入 表 ， 在 这 里 可 以 看 见 程 序 链 接 即 输 入 表 ， 在 这 里 可 以 看 见 程 序 链 接 d l l 和 调 用 和 调 用 d l l 中 函 数 的 情 况 。 中 函 数 的 情 况 。                               3 、 、 . r d a t a ， 默 认 只 读 数 据 区 块 ， 默 认 只 读 数 据 区 块 , 一 般 两 种 情 况 用 到 一 般 两 种 情 况 用 到 , 一 是 一 是 M S 的 链 接 器 产 生 的 链 接 器 产 生 E X E 文 件 中 用 于 存 放 调 试 目 录 ， 二 是 用 于 存 放 说 明 文 件 中 用 于 存 放 调 试 目 录 ， 二 是 用 于 存 放 说 明 字 符 串 。 字 符 串 。                                 4 、 默 认 的 读 、 默 认 的 读 / 写 数 据 块 写 数 据 块 , 全 局 变 量 全 局 变 量 , 静 态 变 量 一 般 放 在 这 个 区 段 。 静 态 变 量 一 般 放 在 这 个 区 段 。         以 上 是 P E 最 基 本 的 四 个 区 段 ， 还 有 一 些 区 段 描 述 ， 如 下 表 所 示 ： 名 称 名 称 描 述 描 述 . e d a t a 输 出 表 ， 当 创 建 一 个 输 出 A P I 或 数 据 的 可 执 行 文 件 时 ， 连 接 器 会 创 建 一 个 . E X P 文 件 ， 这 个 . E X P 文 件 包 含 一 个 . e d a t a 区 块 ， 其 会 被 加 载 到 可 执 行 文 件 中 . r s r c 资 源 , 包 括 模 块 的 全 部 资 源 ， 如 图 标 ， 菜 单 ， 位 图 等 ， 这 个 区 块 是 只 读 的 . c r t 用 于 C + + 运 行 时 ( C R T ) 所 添 加 的 数 据
. t l s T L S 的 意 思 是 线 程 局 部 存 储 器 ， 用 于 支 持 通 过 _ d e c l s p e c ( t h r e a d ) 声 明 的 线 程 局 部 存 储 变 量 的 数 据 ， 这 包 括 数 据 的 初 始 化 值 ， 也 包 括 运 行 时 所 需 要 的 额 外 变 量 . r e l o c 可 执 行 文 件 的 基 址 重 定 位 ， 基 址 重 定 位 一 般 仅 D l l 需 要 的 . s d a t a 相 对 于 全 局 指 针 的 可 被 定 位 的   短 的 读 写 数 据 . p d a t a 异 常 表 , 包 含 C P U 特 定 的 I A M G E _ R U N T I M E _ F U N T I O N _ E N T R Y 结 构 数 组 ， D a t a D i r e c t o r y 中 的 I M A G E _ D I R E C T O R Y _ E N T R Y _ E X C E P T I O N 指 向 它 . 名 称 名 称 描 述 描 述 本 节 概 述 了 反 汇 编 代 码 的 结 构 与 一 般 组 成 ， 有 利 于 大 家 在 逆 向 分 析 中 对 代 码 的 整 体 把 握 。 三 、 三 、 I D A   P r o 与 静 态 分 析 与 静 态 分 析 “ 工 欲 善 其 事 必 先 利 其 器 ” ， I D A   P r o 无 疑 是 静 态 反 汇 编 工 具 里 最 强 大 的 一 个 ， 下 面 就 I D A 简 单 介 绍 。 1 、 窗 口 管 理 ， 可 以 查 看 反 汇 编 、 、 窗 口 管 理 ， 可 以 查 看 反 汇 编 、 h e x 数 据 、 函 数 列 表 、 字 符 串 、 段 寄 存 器 、 函 数 调 用 、 函 数 被 调 用 等 情 况 。 数 据 、 函 数 列 表 、 字 符 串 、 段 寄 存 器 、 函 数 调 用 、 函 数 被 调 用 等 情 况 。
代 码 中 的 字 符 串 ：
区 段 信 息 ： 函 数 调 用 ， 查 看 调 用 和 被 调 用 函 数 的 信 息 ， 下 图 是 以 h e l l o w o r l d 程 序 中 m a i n 函 数 为 例 ： 2 、 图 表 信 息 ， 可 以 查 看 代 码 的 执 行 流 程 图 、 函 数 调 用 图 等 。 、 图 表 信 息 ， 可 以 查 看 代 码 的 执 行 流 程 图 、 函 数 调 用 图 等 。
函 数 被 调 用 （ 调 用 m a i n 函 数 的 函 数 ） ：         函 数 调 用 （ m a i n 函 数 调 用 的 其 它 函 数 ） ：        
函 数 执 行 流 程 （ _ _ t m a i n C R T S t a r t u p 函 数 为 例 ） ： 3 、 交 叉 引 用 与 添 加 注 释 、 交 叉 引 用 与 添 加 注 释 在 出 现 X R E F   的 地 方 就 是 有 交 叉 引 用 （ 如 下 图 ） ； 而 在 X R E F 后 面 的 向 上 箭 头 ， 双 击 它 可 以 跳 到 它 跳 转 的 地 方 （ 如 下 图 ） ； 添 加 注 释 在 代 码 行 右 击 鼠 标 选 择 “ 添 加 注 释 ” 或 直 接 敲 击 “ ； ” 键
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理