搜索

[15413] 2020-05-25_IDAPro进阶之签名文件制作

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-25_IDAPro进阶之签名文件制作 I D A   P r o 进 阶 之 签 名 文 件 制 作 d o l p h i n   F r e e B u f   2 0 2 0 - 0 5 - 2 5 最 近 使 用 最 近 使 用 I D A   P r o 查 看 一 个 查 看 一 个 x 8 6 的 的 e x e 文 件 ， 发 现 为 静 态 编 译 文 件 ， 其 中 包 含 大 量 的 文 件 ， 发 现 为 静 态 编 译 文 件 ， 其 中 包 含 大 量 的 O p e n S S L 的 库 函 数 ， 于 是 上 的 库 函 数 ， 于 是 上 网 搜 索 对 应 的 签 名 文 件 ， 并 没 有 找 到 该 版 本 网 搜 索 对 应 的 签 名 文 件 ， 并 没 有 找 到 该 版 本 O p e n S S L 的 库 函 数 签 名 ， 便 亲 自 做 一 个 签 名 文 件 。 的 库 函 数 签 名 ， 便 亲 自 做 一 个 签 名 文 件 。 一 、 实 验 环 境 一 、 实 验 环 境 操 作 系 统 ： W i n d o w s   1 0 编 程 环 境 ： V S   2 0 1 5 、 A c t i v e P e r l   5 . 2 6 . 3   B u i l d   2 6 0 3 I D A   P r o   7 . 0 二 、 制 作 签 名 二 、 制 作 签 名 制 作 和 应 用 签 名 文 件 一 共 分 为 4 个 步 骤 （ 1 ） 获 得 静 态 库 文 件 ； （ 2 ） 利 用 静 态 库 生 成 模 式 文 件 ； （ 3 ） 利 用 模 式 文 件 生 成 签 名 文 件 ； （ 4 ） 应 用 签 名 文 件 。 步 骤 如 图 1 所 示 。 图 1   创 建 和 应 用 签 名 文 件 的 步 骤 2 . 1   搭 建 编 译 环 境 搭 建 编 译 环 境 首 先 在 虚 拟 机 中 安 装 好 V S 2 0 1 5 和 P e r l 。 P e r l 安 装 好 后 ， 如 图 2 所 示 显 示 结 果 ， 则 说 明 安 装 成 功 。 图 2   测 试 p e r l 是 否 安 装 成 功 2 . 2   编 译 库 文 件 编 译 库 文 件 首 先 在 e x e 文 件 中 发 现 字 符 串 “ A E S p a r t   o f   O p e n S S L   1 . 0 . 2 h     3   M a y   2 0 1 6 ” ， 可 以 确 定 O p e n S S L 的 版 本 为 1 . 0 . 2 h ； 并 且 e x e 中 有 “ o p e n s s l - d i s t - 1 . 0 . 2 h - v s 2 0 1 5 ” 字 符 串 ， 可 以 确 定 为 V S 2 0 1 5 编 译 。 （ 1 ） 将 下 载 到 的 o p e n s s l - 1 . 0 . 2 h . t a r . g z 源 代 码 解 压 （ 下 载 地 址 h t t p s : / / w w w . o p e n s s l . o r g / s o u r c e / o l d / 1 . 0 . 2 / ） 。 （ 2 ） 在 开 始 菜 单 打 开 “ V S 2 0 1 5 开 发 人 员 命 令 提 示 ” 命 令 行 工 具 ， 切 换 到 O p e n S S L 源 代 码 目 录 下 。 （ 3 ） 在 命 令 行 中 执 行 p e r l C o n f i g u r e   V C - W I N 3 2   n o - s h a r e d   n o - a s m   - -
p r e f i x = C : U s e r s u s e r D e s k t o p d o w n l o a d x 8 6 b u i l d o u t 命 令 ， 执 行 结 果 如 图 3 所 示 。 图 3   执 行 p e r l 命 令 参 数 解 释 如 下 。 C o n f i g u r e 是 O p e n S S l 源 码 中 自 带 的 命 令 文 件 ， 必 选 参 数 ； V C - W I N 3 2 表 示 编 译 x 8 6 版 本 ， V C - W I N 6 4 A 表 示 编 译 x 6 4 版 本 ， d e b u g - V C - W I N 3 2 表 示 编 译 d e b u g 版 x 8 6 版 本 ， 必 选 参 数 ； n o - s h a r e d 表 示 编 译 成 静 态 链 接 l i b 模 块 ， s h a r e d 表 示 编 译 成 动 态 链 接 库 d l l 模 块 ， 必 选 参 数 ； n o - a s m 如 果 要 本 地 优 化 ， 还 需 要 下 载 N A S M ， 这 里 直 接 用 n o - a s m 选 项 ， 因 此 不 需 要 下 载 N A S M ， 必 选 参 数 ； - - p r e f i x 是 O p e n S S L 编 译 完 后 的 安 装 路 径 ， 必 选 参 数 ； （ 4 ） 在 命 令 行 中 执 行 m s d o _ m s ， 如 图 4 所 示 。
图 4   执 行 d o _ m s 然 后 执 行 n m a k e - f   m s n t . m a k 命 令 编 译 O p e n S S L ， 该 命 令 耗 时 较 长 ， 执 行 完 毕 后 在 源 代 码 目 录 下 / o u t 3 2 中 生 成 编 译 结 果 。 执 行 n m a k e - f   m s n t . m a k   t e s t 命 令 测 试 上 一 步 编 译 结 果 是 否 有 问 题 。 执 行 n m a k e - f   m s n t . m a k   i n s t a l l 命 令 ， 将 编 译 结 果 整 理 到 目 标 文 件 夹 中 ， 如 图 5 所 示 。 图 5   编 译 结 果 文 件 夹 其 中 l i b 文 件 夹 下 有 两 个 库 文 件 ： l i b e a y 3 2 . l i b （ 1 1 . 8 M B ） ， s s l e a y 3 2 . l i b （ 1 . 9 6 M B ） 。 2 . 3   生 成 签 名 文 件 生 成 签 名 文 件 （ 1 ） 使 用 I D A   P r o   7 . 0 的 “ f l a i r 7 0 . z i p ” 工 具 包 中 的 p c f 工 具 创 建 模 式 文 件 （ p a t ） 。 使 用 命 令 p c f   l i b e a y 3 2 . l i b   l i b e a y 3 2 . p a t 生 成 模 式 文 件 ， 如 图 6 所 示 。 图 6   生 成 l i b e a y 3 2 . p a t 文 件 （ 2 ） 使 用 s i g m a k e   l i b e a y 3 2 . p a t l i b e a y 3 2 . s i g 命 令 生 成 s i g 文 件 ， 如 图 6 所 示 。 其 中 提 示 有 1 1 6 个 函 数 有 冲 突 ， 并 且 在 当 前 文 件 下 生 成 了 l i b e a y 3 2 . e x c ， l i b e a y 3 2 . e x c 文 件 内 容 如 下 所 示 ， 该 文 件 中 列 出 了 所 有 的 冲 突 函 数 。 解 决 冲 突 的 办 法 有 2 种 ， 第 一 种 方 法 是 删 除 文 件 开 头 的 4 行 ， 这 样 s i g m a k e 会 排 除 所 有 这 些 冲 突 的 函 数 。 第 二 种 方 法 是 在 你 认 为 正 确 的 函 数 名 添 加 符 号 + ， 然 后 删 除 文 件 头 前 4 行 ， 如 下 所 示 。 将 编 辑 后 的 e x c 文 件 保 存 ， 再 次 执 行 s i g m a k e 函 数 生 成 l i b e a y 3 2 . s i g 文 件 ， 如 图 7 所 示 。
图 7   生 成 s i g 文 件 同 样 的 步 骤 可 以 生 成 s s l e a y 3 2 . l i b 的 签 名 文 件 。 2 . 4   应 用 签 名 应 用 签 名 将 生 成 的 两 个 签 名 文 件 （ l i b e a y 3 2 . s i g 、 s s l e a y 3 2 . s i g ） 复 制 到 I D A   P r o 的 签 名 文 件 夹 中 （ 默 认 目 录 X : P r o g r a m F i l e s I D A   7 . 0 s i g p c ） ， 使 用 热 键 S h i f t + F 5 打 开 I D A   P r o 的 签 名 窗 口 ， 然 后 右 键 ， 选 择 “ A p p l y   n e w   s i g n a t u r e . . . ” 菜 单 应 用 新 的 签 名 ， 结 果 如 图 8 所 示 。 图 8   签 名 文 件 应 用 结 构 如 图 8 所 示 ， l i b e a y 3 2 签 名 匹 配 出 2 4 4 1 个 库 函 数 ， s s l e a y 3 2 签 名 匹 配 出 6 6 4 个 库 函 数 ， 其 中 v c s e h 签 名 是 I D A   P r o 自 动 加 载 的 签 名 文 件 。 如 果 有 多 个 l i b 文 件 ， 对 应 生 成 多 个 s i g 文 件 比 较 繁 琐 ， 也 可 以 将 多 个 模 式 文 件 生 成 一 个 签 名 文 件 ， 使 用 命 令 s i g m a k e l i b e a y 3 2 . p a t s s l e a y 3 2 . p a t   o p e n S S L _ 1 0 2 h . s i g ， 如 图 9 所 示 。 图 9   合 并 生 成 签 名 文 件 三 、 冲 突 函 数 查 看 三 、 冲 突 函 数 查 看 打 开 l i b e a y 3 2 . e x c 文 件 ， 可 以 看 到 如 下 的 所 示 的 内 容 ， 其 中 S S L C T X s e s s i o n s 函 数 和 S S L g e t w b i o 函 数 为 两 个 冲 突 的 函 数 。 使 用 7 - z i p 将 s s l e a y 3 2 . l i b 解 压 开 ， 使 用 I D A   P r o 加 载 s s l l i b . o b j 文 件 ， 可 以 看 到 S S L C T X s e s s i o n s 函 数 和 S S L g e t _ w b i o 函 数 分 别 如 图 1 0 和 图 1 1 所 示 ， 可 见 两 个 函 数 的 机 器 码 均 为 8 B 4 4 2 4 0 4 8 B 4 0 1 0 C 3 ， 所 以 两 个 函 数 冲 突 。
图 1 0   S S L C T X _ s e s s i o n s 函 数 图 1 1   S S L g e t _ w b i o 函 数 I D A   P r o 提 供 的 签 名 识 别 技 术 称 之 为 F L I R T （ F a s t   L i b r a r y   I d e n t i f i c a t i o n   a n d R e c o g n i t i o n   T e c h n o l o g y ， 库 文 件 快 速 识 别 与 鉴 定 技 术 ） ， 该 技 术 利 用 库 文 件 中 二 进 制 函 数 的 机 器 码 ， 来 快 速 识 别 文 件 中 的 库 函 数 ， 使 得 反 汇 编 代 码 可 读 性 更 强 ， F L I R T 技 术 的 具 体 细 节 详 见 参 考 文 献 【 1 】 。 四 、 相 关 资 源 四 、 相 关 资 源 这 里 给 出 两 个 收 集 签 名 文 件 的 网 址 。 h t t p s : / / g i t h u b . c o m / p u s h 0 e b p / s i g - d a t a b a s e h t t p s : / / g i t h u b . c o m / M a k t m / F L I R T D B i d b 2 p a t . p y 是 火 眼 公 司 F i r e E y e   L a b s   A d v a n c e d   R e v e r s e E n g i n e e r i n g 团 队 编 写 的 P y t h o n 脚 本 ， 该 脚 本 支 持 将 I D B 数 据 库 转 换 成 模 式 文 件 （ p a t ） ， 继 而 转 换 为 签 名 文 件 （ s i g ） 。 该 脚 本 应 用 于 已 经 分 析 了 一 个 二 进 制 文 件 ， 手 工 命 名 部 分 了 关 键 函 数 ， 再 次 分 析 另 一 个 类 似 二 进 制 文 件 时 ， 可 以 应 用 此 脚 本 快 速 迁 移 函 数 名 称 。 注 意 该 脚 本 保 存 模 式 文 件 时 ， 不 支 持 中 文 目 录 。 h t t p s : / / g i t h u b . c o m / f i r e e y e / f l a r e - i d a 。 五 、 总 结 五 、 总 结 制 作 一 个 优 质 的 签 名 文 件 可 以 大 大 加 快 逆 向 进 度 。 制 作 签 名 文 件 有 许 多 的 考 虑 的 因 素 ， 包 括 源 代 码 版 本 、 编 译 优 化 选 项 、 编 译 器 类 型 、 编 译 器 版 本 、 是 否 r e l e a s e 版 本 等 。 如 果 签 名 匹 配 效 果 不 好 ， 可 以 尝 试 不 同 的 编 译 参 数 。 参 考 文 献 参 考 文 献 [ 1 ]   h t t p s : / / w w w . h e x - r a y s . c o m / p r o d u c t s / i d a / t e c h / f l i r t / i n _ d e p t h / I D A   F . L . I . R . T .   T e c h n o l o g y :   I n - D e p t h [ 2 ] 《 I D A   P r o 权 威 指 南 》
[ 3 ]   h t t p s : / / b l o g . c s d n . n e t / t r a c e m e 2 0 1 1 / a r t i c l e / d e t a i l s / 9 0 6 0 6 0 1 8   用 V S 2 0 1 5 编 译 O p e n S S L [ 4 ]   h t t p s : / / b l o g . c s d n . n e t / l i a n g 1 9 8 9 0 8 2 0 / a r t i c l e / d e t a i l s / 5 1 6 5 8 5 7 4 W i n d o w s 下 编 译 O p e n S S L [ 5 ]   h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 5 / 0 1 / f l a r e i d a p r o _ s c r i p t . h t m l F L A R E   I D A   P r o   S c r i p t S e r i e s :   G e n e r a t i n g   F L A I R   f u n c t i o n   p a t t e r n s   u s i n g   I D A P y t h o n * 本 文 作 者 ： 本 文 作 者 ： d o l p h i n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理