Peirianneg wrthdroi yw'r broses o ddadelfennu meddalwedd wedi'i gyfieithu i ddeall ei rhesymeg, ei hymddygiad, a'i bwriad heb fynediad at god ffynhonnell. P'un ai ydych yn dadansoddi drwgwareware, yn archwilio deuaidd cod caeedig, neu'n astudio heriau CTF, mae'r un workflow craidd yn berthnasol: casglu gwybodaeth yn statig, yna cadarnhau eich rhagdybiaethau yn deinamig. Mae'r canllaw hwn yn cerdded trwy'r workflow hwnnw gyda chamau ymarferol, annibynnol ar offer, y gallwch eu cymhwyso ar unwaith.
Gosod Amgylchedd Dadansoddi Diogel
Cyn cyffwrdd ag unrhyw ddeuaidd nad ydych yn gyfarwydd ag ef, ynysu eich gweithle. Defnyddiwch feiriant rhithual ymroddedig heb fynediad rhwydwaith i'ch croesawer, tynnwch lun ohono cyn dadansoddi, a hepgorwch ffolderi rhannu a chydweddu'r clipfwrdd. Mae offer fel VM Linux gyda radare2, Ghidra, gdb, a objdump yn lledaenu'r rhan fwyaf o'r angen statig a deinamig, tra bod VM Windows gyda x64dbg a Process Monitor yn hanfodol ar gyfer ffeiliau PE. Peidiwch byth â dadansoddi samplau amheus ar eich peiriant cynradd, a dychwelwch lun-gopïau bob amser rhwng sesiwn i osgoi croeshalogi.
Dadansoddi Statig: Darllen Heb Redeg
Dechreuwch trwy nodi'r math ffeil a'r pensaernïaeth gan ddefnyddio file a readelf -h (Linux) neu arolygydd pennawd PE (Windows). Gwiriwch am becio neu ddryswch gyda dadansoddi entrofi — mae offer fel Detect It Easy yn nodi adrannau entrofi uchel amheus sy'n awgrymu cywasgu neu amgryptio.
Nesaf, llwythwch y deuaidd i mewn i ddadosodwr fel Ghidra neu IDA Free. Canolbwyntiwch ar:
- Mewnforion ac allfforion — mae galwadau API fel
CreateRemoteThreadneuVirtualAllocExyn awgrymu chwistrellu proses; maeWSAStartupyn awgrymu rhwydweithio. - Llinyn — rhedeg
strings -n 8 binaryi ddadbrynu URLs wedi'u caled-godi, llwybrau ffeil, neu negeseuon dadfeilio sy'n datgelu swyddogaeth. - Graffiau llif rheoli — mae golygfa dadgompio Ghidra yn troi asembli crai yn ffug-C darllenadwy, gan gyflymhau dealltwriaeth o ddolenni a chyflyrau yn ddramatig.
Anodwch enwau swyddogaeth wrth i chi eu deall. Ailenwi sub_401020 i decrypt_config yn syth yn gwneud gweddill eich dadansoddi yn haws ei dilyn.
Dadansoddi Deinamig: Ei Weld yn Rhedeg
Mai dadansoddi statig yn mynd yn unig hyd yn hyn, yn enwedig yn erbyn cod wedi'i ddryswch neu'i becio. Llwythwch y deuaidd mewn dadfaciwyr ac osodwch bwyntiau torri ar alwadau API amheus a nodwyd yn gynharach. Yn x64dbg, torri ar VirtualAlloc neu WriteProcessMemory yn aml yn datgelu amruliad-ddadpacio wrth iddynt ysgrifennu cod dadfryptiedig i'r cof yn union cyn gweithredu.
Defnyddiwch Process Monitor neu strace/ltrace ar Linux i gofnodi ffeil, cofrestr, a gweithgaredd rhwydwaith yn real-amser. Mae'r golygfa allanol hon yn ategu'r golygfa fewnol o'r dadfaciwyr ac yn aml yn dadbrynu ymddygiad sy'n anodd i'w weld mewn dadadosoddi yn unig, megis creu ffeil dros dro neu edrychiadau DNS.
Ar gyfer deuaidd sy'n gallu rhwydweithio, rhedwch hwy ochr yn ochr â Wireshark neu efelychwr rhyngrwyd ffug fel INetSim i arsylwi traffig gorchymyn-a-rheolaeth heb adael i'r sampl gyrraedd y rhyngrwyd mewn gwirionedd.
Ymdrin â Triciau Gwrth-Ddadansoddi
Mae llawer o ddeuaidd — yn enwedig drwgwareware — yn cynnwys gwiriadau a ddyluniwyd i ganfod dadfaciwyr, peiriannau rhithual, neu focysau. Mae technegau cyffredin yn cynnwys galw IsDebuggerPresent, gwiro allweddi cofrestr penodol VM, neu fesur amser gweithredu i ganfod cam-prydu sengl. Pan fyddwch yn sylwi ar y sheciau hyn yn ystod dadansoddi statig, gallwch patchio'r naid amodol yn y dadfaciwyr i orfodi'r