Inżynieria wsteczna to proces rozmontowywania oprogramowania skompilowanego w celu zrozumienia jego logiki, zachowania i zamiaru bez dostępu do kodu źródłowego. Niezależnie od tego, czy analizujesz złośliwe oprogramowanie, przeprowadzasz audyt zamkniętych plików binarnych czy studiujesz wyzwania CTF, stosuje się ten sam podstawowy przepływ pracy: zbierz informacje statycznie, a następnie potwierdź swoje hipotezy dynamicznie. Ten przewodnik przeprowadzi Cię przez ten przepływ pracy z praktycznymi, niezależnymi od narzędzi krokami, które możesz zastosować natychmiast.
Ustawienie Bezpiecznego Środowiska Analizy
Przed dotknięciem nieznanego pliku binarnego wyizoluj swoje miejsce pracy. Użyj dedykowanej maszyny wirtualnej bez dostępu sieciowego do hosta, utwórz jej zrzut przed analizą i wyłącz foldery udostępniane oraz synchronizację schowka. Narzędzia takie jak Linux VM z radare2, Ghidra, gdb i objdump pokrywają większość potrzeb statycznych i dynamicznych, podczas gdy Windows VM z x64dbg i Process Monitor jest niezbędny dla plików PE. Nigdy nie analizuj podejrzanych próbek na swojej głównej maszynie i zawsze przywracaj zrzuty między sesjami, aby uniknąć skażenia krzyżowego.
Analiza Statyczna: Czytanie Bez Uruchamiania
Zacznij od zidentyfikowania typu pliku i architektury przy użyciu file i readelf -h (Linux) lub inspektora nagłówka PE (Windows). Sprawdź pakowanie lub zaciemnianie za pomocą analizy entropii — narzędzia takie jak Detect It Easy flagują sekcje z podejrzanie wysoką entropią, które sugerują kompresję lub szyfrowanie.
Następnie załaduj plik binarny do disasemblera, takiego jak Ghidra lub IDA Free. Skoncentruj się na:
- Importach i eksportach — wywołania API takie jak
CreateRemoteThreadlubVirtualAllocExsugerują iniekcję procesu;WSAStartupsugeruje sieci. - Stringach — uruchom
strings -n 8 binary, aby ujawnić zamkodowane adresy URL, ścieżki plików lub wiadomości debugowania, które ujawniają funkcjonalność. - Grafach przepływu sterowania — widok dekompilera Ghidry zmienia czysty kod asemblerowy na czytelny pseudo-C, dramatycznie przyspieszając zrozumienie pętli i warunków.
Adnotuj nazwy funkcji w miarę ich zrozumienia. Zmiana nazwy sub_401020 na decrypt_config natychmiast ułatwia śledzenie reszty analizy.
Analiza Dynamiczna: Obserwowanie Jej Uruchamiania
Analiza statyczna ma ograniczenia, szczególnie w stosunku do zaciemnionego lub spakowanego kodu. Załaduj plik binarny w debuggerze i ustaw punkty przerwania przy podejrzanych wywołaniach API zidentyfikowanych wcześniej. W x64dbg, przerwanie na VirtualAlloc lub WriteProcessMemory często ujawnia rutyny rozpakowania, gdy zapisują rozszyfrowany kod do pamięci tuż przed wykonaniem.
Użyj Process Monitor lub strace/ltrace na Linux, aby rejestrować aktywność pliku, rejestru i sieci w czasie rzeczywistym. Ten zewnętrzny widok uzupełnia widok wewnętrzny z debuggera i często ujawnia zachowanie, które trudno dostrzec w samym disassembly, takie jak utworzenie pliku tymczasowego lub wyszukiwania DNS.
Dla plików binarnych zdolnych do sieci, uruchom je razem z Wireshark lub symulatorem fałszywego internetu, takim jak INetSim, aby obserwować ruch command-and-control bez pozwolenia próbce na rzeczywisty dostęp do internetu.
Radzenie Sobie Ze Sztuczkami Anty-Analizy
Wiele plików binarnych — szczególnie złośliwe oprogramowanie — zawiera kontrole zaprojektowane do wykrycia debuggerów, maszyn wirtualnych lub piaskownic. Powszechne techniki obejmują wywoływanie IsDebuggerPresent, sprawdzanie kluczy rejestru specyficznych dla maszyn wirtualnych lub pomiaru czasu wykonania w celu wykrycia pojedynczych kroków. Gdy zauważysz te kontrole podczas analizy statycznej, możesz zaaplikować skok warunkowy w debuggerze, aby wymusić