搜索

[17931] 2021-06-29_如何消除Go的编译特征.

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-29_如何消除Go的编译特征.md 如 何 消 除 G o 的 编 译 特 征 . m d 原 创   w 8 a y   H a c k i n g 就 是 好 玩   2 0 2 1 - 0 6 - 2 9 收 录 于 话 题   # g o 混 淆   , 1 个 G o 默 认 编 译 会 自 带 一 堆 信 息 ， 通 过 这 些 信 息 基 本 可 以 还 原 G o 的 源 码 架 构 ， 本 文 就 是 研 究 如 何 消 除 或 者 混 淆 这 些 信 息 ， 记 录 了 这 个 研 究 过 程 ， 如 果 不 想 看 可 以 直 接 跳 到 文 章 末 尾 ， 文 章 末 尾 提 供 了 一 款 工 具 ， 可 以 一 键 消 除 G o 二 进 制 中 的 这 些 敏 感 信 息 。 但 还 是 推 荐 看 看 研 究 过 程 ， 可 以 明 白 这 个 工 具 的 运 行 原 理 。 从 逆 向 G o 开 始 先 写 一 个 简 单 的 程 序 我 的 g o 版 本 是 编 译 它 运 行 后 会 如 下 输 出 i m a g e - 2 0 2 1 0 6 2 8 1 6 0 5 5 1 2 1 9 可 以 观 察 到 程 序 日 志 打 印 时 打 印 了 文 件 名 ， p a n i c 抛 出 错 误 的 时 候 堆 栈 的 文 件 名 也 抛 出 了 ， 可 以 想 象 G o 编 译 的 二 进 制 程 序 内 部 肯 定 有 个 数 据 结 构 存 储 了 这 些 信 息 。 g o   v e r s i o n   g o 1 . 1 6 . 2   w i n d o w s / a m d 6 4 p a c k a g e   m a i n i m p o r t   (   " f m t "   " l o g "   " m a t h / r a n d " ) f u n c   m a i n ( )   {   f m t . P r i n t l n ( " h e l l o   w o r l d ! " )   l o g . S e t F l a g s ( l o g . L s h o r t f i l e   |   l o g . L s t d F l a g s )   f o r   i : = 0 ; i < 1 0 ; i + + {     l o g . P r i n t l n ( r a n d . I n t n ( 1 0 0 ) )   }   p a n i c ( " 1 1 " ) } g o   b u i l d   m a i n . g o
用 I D A 打 开 这 个 二 进 制 i m a g e - 2 0 2 1 0 6 2 8 1 6 1 3 0 2 4 2 2 能 够 看 到 函 数 符 号 的 名 称 。 查 看 P E 的 结 构 发 现 有 个 区 段 i m a g e - 2 0 2 1 0 6 2 8 1 6 1 6 4 4 2 1 2 原 来 普 通 的 使 用 进 行 编 译 ， 会 连 符 号 和 调 试 信 息 一 起 编 译 到 里 面 。 重 新 使 用 命 令 编 译 再 次 用 I D A 打 开 ， 发 现 符 号 信 息 都 不 见 了 。 s y m t a b g o   b u i l d   . g o   b u i l d   - l d f l a g s   " - s   - w "   m a i n . g o
i m a g e - 2 0 2 1 0 6 2 8 1 6 2 4 3 2 0 8 7 再 次 运 行 程 序 ， 却 发 现 文 件 路 径 信 息 还 是 存 在 。 i m a g e - 2 0 2 1 0 6 2 8 1 6 2 5 0 1 1 2 9 但 是 自 己 写 的 代 码 中 根 本 没 有 这 些 字 符 啊 ， 只 可 能 是 g o 在 编 译 的 时 候 自 己 打 包 进 去 的 。
所 以 引 出 两 个 问 题 G o 为 什 么 要 打 包 这 些 信 息 G o 打 包 了 哪 些 信 息 G o 为 什 么 要 打 包 这 些 信 息 G o   二 进 制 文 件 里 打 包 进 去 了   「 「 r u n t i m e 」 」   和   「 「 G C 」 」   模 块 ， 还 有 独 特 的   「 「 T y p e   R e f l e c t i o n 」 」 ( 类 型 反 射 )   和   「 「 S t a c k   T r a c e 」 」 机 制 ， 都 需 要 用 到 这 些 信 息 。 来 自   G o 二 进 制 文 件 逆 向 分 析 从 基 础 到 进 阶 — — 综 述   -   安 全 客 ， 安 全 资 讯 平 台   ( a n q u a n k e . c o m ) 长 按 识 别 二 维 码 查 看 原 文 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 1 4 9 4 0 标 题 ： G o 二 进 制 文 件 逆 向 分 析 从 基 础 到 进 阶 — — 综 述   -   安 全 客 ， 安 全 资 讯 平 台   ( a n q u a n k e . c o m )           G o 打 包 了 哪 些 信 息 G o   V e r s i o n G o   B u i l d I D G O R O O T 函 数 名 称 和 源 码 路 径 s t r u c t   和   t y p e   和   i n t e r f a c e i m g
G o 逆 向 方 式 看   h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 1 4 9 4 0   这 篇 文 章 就 能 知 道 ， 通 过 解 析 G o 二 进 制 中 这 些 内 置 的 数 据 结 构 ， 就 可 以 还 原 出 符 号 信 息 。 有 安 全 研 究 员 发 现 除 了 可 以 从   「 「 p c l n t a b 」 」   结 构 中 解 析 、 恢 复 函 数 符 号 ， G o   二 进 制 文 件 中 还 有 大 量 的 类 型 、 方 法 定 义 的 信 息 ， 也 可 以 解 析 出 来 。 这 样 就 可 以 大 大 方 便 对   G o   二 进 制 文 件 中 复 杂 数 据 结 构 的 逆 向 分 析 。 基 于 这 种 方 式 ， 已 经 有 人 写 好 了 i d a 的 脚 本 来 恢 复 h t t p s : / / g i t h u b . c o m / 0 x j i a y u / g o _ p a r s e r 仅 支 持 到 G o 1 . 6 ， G o 1 . 6 之 后 数 据 结 构 有 略 微 的 改 动 ， 但 是 项 目 还 没 更 新 h t t p s : / / g i t h u b . c o m / r e n z h e x i g u a / g o _ p a r s e r / t r e e / p y 3 _ 1 . 1 6 支 持 到 G o 1 . 6 的 脚 本 运 行 这 些 脚 本 ， 就 能 还 原 一 些 符 号 信 息 了 。
i m a g e - 2 0 2 1 0 6 2 8 1 7 2 8 0 0 1 2 7 r e d r e s s 和 g o r e
前 面 的 是 基 于 I D A 的 脚 本 ， 因 为 G o 也 内 置 了 自 己 的 数 据 结 构 ， 用 G o 来 解 析 G o 更 方 便 。 g o r e t k / r e d r e s s :   R e d r e s s   -   A   t o o l   f o r   a n a l y z i n g   s t r i p p e d   G o   b i n a r i e s h t t p s : / / g i t h u b . c o m / g o r e t k / r e d r e s s i m a g e - 2 0 2 1 0 6 2 8 1 8 5 8 1 0 3 5 9 . r e d r e s s . e x e   - p k g   - s t d   - f i l e p a t h     - i n t e r f a c e   m a i n . e x e
i m a g e - 2 0 2 1 0 6 2 8 1 8 5 8 2 2 3 3 2 r e d r e s s 只 是 工 具 的 前 端 ， 如 果 看 它 代 码 的 话 会 发 现 ， 实 际 的 解 析 代 码 在 h t t p s : / / g i t h u b . c o m / g o r e t k / g o r e 这 款 工 具 能 从 G o 二 进 制 中 获 取 非 常 多 的 信 息 ， 几 乎 可 以 用 它 来 还 原 G o 的 源 码 结 构 ， 这 么 神 奇 的 工 具 ， 怎 能 不 看 看 它 是 如 何 实 现 的 呢 。 G o R E   代 码 学 习 在 G o R E 中 ， 是 直 接 使 用 内 置 的 生 成 ， 可 用 于 获 取 源 码 路 径 和 函 数 名 称 。 其 他 解 析 数 据 结 构 的 地 方 很 枯 燥 ， 有 兴 趣 可 以 看 @ J ! 4 Y u 师 傅 的 文 章 ， 很 全 面 的 讲 解 了 G o 的 数 据 结 构 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 1 4 9 4 0 我 就 说 说 看 得 几 个 有 意 思 的 点 G o   v e r s i o n   获 取 g o 官 方 命 令 不 仅 可 以 获 取 自 身 的 g o 版 本 信 息 ， 如 果 后 面 跟 一 个 G o 文 件 路 径 ，   就 能 获 得 那 个 文 件 的 g o 的 编 译 器 信 息 。 P C L N T a b d e b u g / g o s y m g o   v e r s i o n
i m a g e - 2 0 2 1 0 6 2 8 1 1 1 7 4 0 4 5 5 查 看 G o 源 代 码 ， 看 看 是 怎 么 实 现 的 G o 官 方 是 通 过 搜 索 这 个 魔 术 字 符 ， 用 I D A 定 位 到 这 个 地 方 ， 可 以 看 到 ， 这 个 魔 术 字 符 后 面 就 跟 着 G o 版 本 信 息 的 地 址 偏 移 。 i m a g e - 2 0 2 1 0 6 2 8 1 1 0 6 1 5 0 7 1 官 方 实 现 代 码 s r c c m d g o i n t e r n a l v e r s i o n v e r s i o n . g o v a r   b u i l d I n f o M a g i c   =   [ ] b y t e ( " x f f   G o   b u i l d i n f : " )
G o R E   v e r s i o n   获 取 交 叉 引 用 上 文 的 字 符 串 ， 可 以 看 到 三 处 调 用 的 地 方 。 / /   T h e   b u i l d   i n f o   b l o b   l e f t   b y   t h e   l i n k e r   i s   i d e n t i f i e d   b y / /   a   1 6 - b y t e   h e a d e r ,   c o n s i s t i n g   o f   b u i l d I n f o M a g i c   ( 1 4   b y t e s ) , / /   t h e   b i n a r y ' s   p o i n t e r   s i z e   ( 1   b y t e ) , / /   a n d   w h e t h e r   t h e   b i n a r y   i s   b i g   e n d i a n   ( 1   b y t e ) . v a r   b u i l d I n f o M a g i c   =   [ ] b y t e ( " x f f   G o   b u i l d i n f : " ) / /   f i n d V e r s   f i n d s   a n d   r e t u r n s   t h e   G o   v e r s i o n   a n d   m o d u l e   v e r s i o n   i n f o r m a t i o n / /   i n   t h e   e x e c u t a b l e   x . f u n c   f i n d V e r s ( x   e x e )   ( v e r s ,   m o d   s t r i n g )   {   / /   R e a d   t h e   f i r s t   6 4 k B   o f   t e x t   t o   f i n d   t h e   b u i l d   i n f o   b l o b .   t e x t   : =   x . D a t a S t a r t ( )   d a t a ,   e r r   : =   x . R e a d D a t a ( t e x t ,   6 4 * 1 0 2 4 )   i f   e r r   ! =   n i l   {     r e t u r n   }   f o r   ;   ! b y t e s . H a s P r e f i x ( d a t a ,   b u i l d I n f o M a g i c ) ;   d a t a   =   d a t a [ 3 2 : ]   {     i f   l e n ( d a t a )   <   3 2   {       r e t u r n     }   }   / /   D e c o d e   t h e   b l o b .   p t r S i z e   : =   i n t ( d a t a [ 1 4 ] )   b i g E n d i a n   : =   d a t a [ 1 5 ]   ! =   0   v a r   b o   b i n a r y . B y t e O r d e r   i f   b i g E n d i a n   {     b o   =   b i n a r y . B i g E n d i a n   }   e l s e   {     b o   =   b i n a r y . L i t t l e E n d i a n   }   v a r   r e a d P t r   f u n c ( [ ] b y t e )   u i n t 6 4   i f   p t r S i z e   = =   4   {     r e a d P t r   =   f u n c ( b   [ ] b y t e )   u i n t 6 4   {   r e t u r n   u i n t 6 4 ( b o . U i n t 3 2 ( b ) )   }   }   e l s e   {     r e a d P t r   =   b o . U i n t 6 4   }   v e r s   =   r e a d S t r i n g ( x ,   p t r S i z e ,   r e a d P t r ,   r e a d P t r ( d a t a [ 1 6 : ] ) )   i f   v e r s   = =   " "   {     r e t u r n   }   m o d   =   r e a d S t r i n g ( x ,   p t r S i z e ,   r e a d P t r ,   r e a d P t r ( d a t a [ 1 6 + p t r S i z e : ] ) )   i f   l e n ( m o d )   > =   3 3   & &   m o d [ l e n ( m o d ) - 1 7 ]   = =   ' n '   {     / /   S t r i p   m o d u l e   f r a m i n g .     m o d   =   m o d [ 1 6   :   l e n ( m o d ) - 1 6 ]   }   e l s e   {     m o d   =   " "   }   r e t u r n } / /   r e a d S t r i n g   r e t u r n s   t h e   s t r i n g   a t   a d d r e s s   a d d r   i n   t h e   e x e c u t a b l e   x . f u n c   r e a d S t r i n g ( x   e x e ,   p t r S i z e   i n t ,   r e a d P t r   f u n c ( [ ] b y t e )   u i n t 6 4 ,   a d d r   u i n t 6 4 )   s t r i n g   {   h d r ,   e r r   : =   x . R e a d D a t a ( a d d r ,   u i n t 6 4 ( 2 * p t r S i z e ) )   i f   e r r   ! =   n i l   | |   l e n ( h d r )   <   2 * p t r S i z e   {     r e t u r n   " "   }   d a t a A d d r   : =   r e a d P t r ( h d r )   d a t a L e n   : =   r e a d P t r ( h d r [ p t r S i z e : ] )   d a t a ,   e r r   : =   x . R e a d D a t a ( d a t a A d d r ,   d a t a L e n )   i f   e r r   ! =   n i l   | |   u i n t 6 4 ( l e n ( d a t a ) )   <   d a t a L e n   {     r e t u r n   " "   }   r e t u r n   s t r i n g ( d a t a ) } r u n t i m e _ b u i l d V e r s i o n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理