Re:0 從零開始的逆向工程

2021/10/10 高中職生資安研習營 - 基礎逆向工程

Transcript

1. Re:0 從零開始的逆向工程 2021/10/02 Presented by LJP
2. # whoami • LJP / LJP-TW • 台科大  交大碩班 • CTF 戰隊 10sec 隊員 2
3. 大綱 • 工具安裝 • 逆向工程簡介 • 組合語言 • 分析方法 • ELF 逆向工程 • 逆向工程技巧 3
4. 工具安裝 4
5. 工具安裝 • 在這一切開始之前 • 先讓我們準備一下工具吧 • 建議準備虛擬機， 並記得將虛擬機斷網 • 畢竟研究病毒還是要關在實驗室裏面做， 病毒跑出來會很慘 QQ 5
6. 工具安裝 • 虛擬機準備這邊請自行研究 • Windows (無限制版本, 建議 win7 以上) • Linux (無限制發行版, 推薦 Ubuntu / Kali) • 本篇簡報範例沒有病毒， 可以直接運行在本機環境 • 但外面撿來的樣本, 還是請關在虛擬機運行 6
7. 工具安裝 • 可安裝在本機上的 • Ghidra • PEBear • Windows 虛擬機 • x64dbg • Linux 虛擬機 • gdb 7
8. JDK • 安裝 Ghidra 前要先安裝 JDK • jdk-17_windows-x64_bin.exe • 一直按下一步就對了 • 設置環境變數 8 https://www.oracle.com/java/technologies/downloads/#jdk17-windows
9. JDK 9
10. Ghidra • ghidra_10.0.3_PUBLIC_20210908.zip • 解壓縮 • JDK 環境變數有設定好, 就能成功運行 ghidraRun.bat 10 https://ghidra-sre.org/
11. PE-Bear • PE-bear_0.5.4_x64_win_vs17.zip • 解壓縮 • 執行 PE-bear.exe 即可 11 https://github.com/hasherezade/pe-bear-releases/releases/
12. x64dbg • snapshot_2021-07-01_23-17 • 解壓縮 • 執行 release/x96dbg.exe • 一開始初始化選項 全部選確定 • 桌面就會出現 x32dbg 和 x64dbg 的捷徑 12 https://sourceforge.net/projects/x64dbg/
13. gdb • 開啟終端機執行以下指令 • sudo apt-get install gdb • 建議額外安裝 gdb-gef 套件 • 參考 https://github.com/hugsy/gef 文中敘述的安裝方式 13
14. gdb • gef config 可以參考以下 • https://gist.github.com/LJP- TW/2edf8b66b61e91a232f76acc487bbd10 • 請先註解掉 glibc heap 設定的部分 • 主要保留以下的部分 14
15. 逆向工程簡介 15
16. 逆向工程簡介 • 逆向工程 Reverse Engineering • 如果今天你想知道一個程式在做什麼， 要怎麼做? 16
17. 逆向工程簡介 • 直接執行看看? 17
18. 逆向工程簡介 • 如果你剛好有原始碼， 那就看 code 就好 18
19. 逆向工程簡介 • 那如果沒有 source code 呢? 19
20. 逆向工程簡介 • 當你想… • 破解程式 • 修改程式 • 分析惡意程式 • 挖掘漏洞 • 卻又沒有原始碼 • 你就需要逆向工程！ 20
21. 逆向工程簡介 • 沒有原始碼， 要怎麼知道程式在幹嘛? • 先轉換一下問題 • 程式怎麼產生的? • 程式怎麼跑起來的? 21
22. 程式產生過程 • Q: 程式怎麼產生的? • Visual Studio 按一下 F5， 程式碼就變程式了(ˊ_>ˋ) • 喂， 我是問更詳細的過程 22
23. 程式產生過程 • 首先程式碼經過編譯器， 經過解析後, 產生出組合語言 • 關於編譯器是怎麼解析的，我們以後會專門做一期視頻給大家講解 23 原始程式碼 組合語言 編譯器 Compiler
24. 程式產生過程 • 組合語言再通過組譯器， 將組合語言組譯成 object code 24 組合語言 object code 組譯器 Assembler
25. 程式產生過程 • Object code 再通過連結器， 最終連結成執行檔 25 object code 執行檔 連結器 Linker
26. 程式產生過程 • 統整一下 26 原始程式碼 組合語言 object code 執行檔 編譯 組譯 連結
27. 程式產生過程 • 整個過程， 程式碼越來越不適合人類閱讀 • 從人類的語言一路慢慢變成一堆 0 跟 1 27 原始程式碼 組合語言 object code 執行檔 編譯 組譯 連結
28. 編譯/反編譯 • 來談一下編譯與反編譯 28 原始程式碼 組合語言 object code 執行檔 編譯 組譯 連結
29. 編譯/反編譯 • 程式碼編譯成組合語言， 每種編譯器都不盡相同 • 同一句 C 可以用多種組合語言表達 29 原始程式碼 組合語言 編譯 編譯器 Compiler
30. 編譯/反編譯 • 因此反編譯沒有那麼簡單 • 雖然程式邏輯一樣， 但程式碼長相始終無法與原始程式碼一樣 30 原始程式碼 組合語言 反編譯器 Decompiler 反編譯
31. 組譯/反組譯 • 再來談一下組譯與反組譯 31 原始程式碼 組合語言 object code 執行檔 編譯 組譯 連結
32. 組譯/反組譯 • 每一句組合語言都只和一組機械碼互相對應 • 比如說 mov rax, rbx 翻成機械碼就是 0x48 0x89 0xd8 • 0x48 0x89 0xd8 翻成組合語言也只有 mov rax, rbx 這種可能 • 所以反組譯器相對來說比較好做 32
33. 組譯/反組譯 • 每一句組合語言都只和一組機械碼互相對應 33 組合語言 執行檔 反組譯器 Disassembler 反組譯
34. 程式產生過程 • 溫馨提醒： 不同語言的機制可能不太一樣 • C / C++ • C# • Java • Python • … • 本篇簡報只針對 C / C++ 34
35. 程式產生過程 • 知道了程式的產生過程後， 你多少應該能知道逆向工程的原理 • 通過反組譯, 將人類看不懂的 0101 變成看得懂的組合語言, 就能 知道程式在執行什麼 • 有些工具提供反編譯功能, 能更有效的看懂程式在幹嘛 • 當然, 如果有 source code 最好 35
36. 程式運作過程 • Q: 程式怎麼跑起來的? • 對著 exe 點兩下他就跑起來了 (ˊ_>ˋ) • 喂， 我是問更詳細的過程 36
37. 程式運作過程 • 你點兩下程式， 告訴作業系統 (OS) 你想執行他 • 所以問題更具體地問是， OS 怎麼將程式跑起來的? • OS 會從程式檔案的頭部讀取資訊 • 這些資訊包含怎麼把它放到記憶體裡、 程式進入點在哪… 37
38. 程式運作過程 • 不同 OS 是如何載入程式的方式大同小異 • 頭部結構 • Windows: PE (Portable Executable) Header • Linux: ELF (Executable and Linkable Format) • 載入後， 就從程式進入點開始執行 • 先帶大家看看熟悉的 exe 內部結構 38
39. PE format • 這就是你熟悉的 exe 的結構 • 是不是看了就頭痛 • 讓我們一點一點地拆開來說 39 Ref: https://en.wikipedia.org/wiki/Portable_Executable
40. PE format 40 • 首先看最上面的 DOS Header • 用 PE-Bear 來展示一下
41. PE format 41 DOS Hdr 以 “MZ” 作為開頭 紀錄 NT Hdr 偏移量(offset)多少
42. PE format 42 • 再來是 NT Hdr (或稱 PE Hdr) • 其包含了
43. PE format 43 • 再來是 NT Hdr (或稱 PE Hdr) • 其包含了 • COFF Hdr (或稱 File Hdr)
44. PE format 44 • 再來是 NT Hdr (或稱 PE Hdr) • 其包含了 • COFF Hdr (或稱 File Hdr) • Optional Hdr
45. PE format 45 • COFF Hdr (或稱 File Hdr) • 用 PE-Bear 來展示一下
46. PE format 46 PE Hdr 以 “PE” 開頭 紀錄有幾個 sections 紀錄 Optional Hdr 多大 紀錄有哪些特殊設定
47. PE format 47 • Optional Hdr • 用 PE-Bear 來展示一下
48. PE format 48 程式進入點 RVA 程式基址 紀錄有哪些特殊設定
49. PE format 49 各種 Directory 位址及大小
50. PE format 50 • 解釋一下 RVA (Relative Virtual Address) • 首先先直接展示一個程式在跑的時候， 記憶體位址的樣子
51. PE format 51
52. PE format 52
53. VA RVA 53 • 解釋 RVA (Relative Virtual Address) 之前 • 先解釋什麼是 VA (Virtual Address) • 做一下小實驗， 如果執行兩個 hello.exe， 記憶體位址分布長怎樣
54. VA RVA 54 • 兩個 process 的記憶體位址有重疊耶?! • 如果改掉 A process 記憶體內容 (地址重疊的部分), B process 的 內容也會被改嗎? • 實驗一下, 答案是不會的 • 所以那個記憶體位址到底是啥
55. VA RVA 55 • 其實我們的程式所看到的記憶體位址， 都是假的 • 都是虛擬記憶體位址 (Virtual Address)
56. VA RVA 56 • 那為什麼要這麼複雜? • 如果程式都能直接碰到實體記憶體位址 PA (Physical Address) • 你要怎麼知道這個 PA 有沒有被其他程式占用? • 這個問題很難， 但現代 OS 幫你搞定了這個問題 • OS 只給你 VA， 實際上存取時， OS 有他的方式， 能夠 VA <-> PA
57. VA RVA 57 • 正常狀況下 A process 的 0x55665566 VA • 跟 B process 的 0x55665566 VA • 不是對應到同一個 PA • 解釋了剛剛的實驗結果
58. VA RVA 58 • 搞懂 VA 了， 可以講 RVA 了 • 只是一個方便 PE 結構不用寫這麼多字的東西 • VA = ImageBase + RVA • 第一條指令位址 VA = ImageBase + Entry point RVA
59. VA RVA 59 程式進入點 RVA 程式基址 第一條指令位址 = 0x140001580
60. ASLR 60 • 可是實驗中, 我們的第一條指令位址顯然不是剛算的 • 原因是 ASLR (Address Space Layout Randomization) • 記憶體位址每次執行時都是固定的話， 會有安全問題 (請看隔壁棚 Pwn 的課) • 啟用了 ASLR， OS 就會隨機產生 ImageBase， 原本提供的 ImageBase 就被忽略了 QQ
61. ASLR 61 • 第一條指令位址 VA = ASLR 隨機產生的 ImageBase + 進入點 RVA • 那麼要怎麼知道 ASLR 有沒有開啟呢?
62. ASLR 62 若有 DLL can move 就是有啟用 ASLR
63. ASLR 63 • 如果把程式裡的這個 bit 拔掉, 就可以關掉 ASLR 了 • 來實驗一下!
64. ASLR 64 • DLL can move 是 0x40 • 減去 0x40 就是把它拔掉
65. ASLR 65 • 記得另存一個新程式 • 再度執行看看
66. PE format 66 • Section Hdr • 在右邊的圖是對應 Section Table • 其實會有多個 Section Hdr • 用 PE-Bear 來展示一下
67. PE format 67 .text section hdr
68. PE format 68 .rdata section hdr
69. PE format 69 • 解釋一下 Section Hdr • 程式檔案的 Raw Addr 開始的 Raw size 個 Bytes 會映射到 Virtual Addr 開始的 Virtual Size 個 Bytes • Virtual Addr 是 RVA • Characteristics 設定了該區記憶體位址的權限
70. PE format 70
71. PE format 71 • 但看了一下 .rdata， 好像不是這麼回事?
72. PE format 72
73. PE format 73 • 但看了一下 .rdata， 好像不是這麼回事? • 實際上是因為另一個機制, 改掉了這邊的資料 • 關鍵字: IMAGE_IMPORT_DESCRIPTOR、 IAT (Import Address Table) • 關於這個機制， 我們以後會專門做一期視頻給大家講解
74. 逆向工程簡介 74 • 看完這個章節之後， 你應該… • 知道為何要逆向工程 • 因為沒有 source code QQ • 略懂逆向工程原理 • 因為你知道了程式產生過程 • 所以你知道了反組譯、 反編譯這些技術為何可行 • 略懂從哪開始進行逆向 • 因為你知道了程式怎麼運作起來的
75. x86 組合語言 75
76. x86 組合語言 • 這個章節有點多東西要講 • 所以我決定通過講解 x64dbg 介面來聊 x86 組合語言 76
77. x64dbg 77
78. x64dbg 78 組合語言 資料視窗 Stack 暫存器
79. x64dbg 79 組合語言 資料視窗 Stack 暫存器
80. 暫存器 • 通用暫存器 (General-Purpose Registers) 80 AH AL 7 8 0 15 16 31 32 63 16-bit 32-bit 64-bit AX EAX RAX BH BL CH CL DH DL BP SP SI DI BX EBX RBX CX ECX RCX DX EDX RDX BP EBP RBP SP ESP RSP SI ESI RSI DI EDI RDI Base Pointer Stack Pointer
81. 暫存器 • 指令暫存器 • Instruction Pointer Register • 或稱 Program Counter • 存放下一條指令的位址 81 IP 0 15 16 31 32 63 16-bit 32-bit 64-bit IP EIP RIP
82. 暫存器 • 還有更多的暫存器 • 關於其他暫存器， 我們以後會專門做一期視頻給大家講解 82
83. 暫存器 • 不同的指令集有不同的暫存器 • 這邊只講 x86 / x86-64 指令集 • 對其他指令集有興趣的人可以搜尋 ARM、 MIPS 83
84. x64dbg 84 組合語言 資料視窗 Stack 暫存器
85. x86 組合語言 • 前面章節有提到組合語言, 現在就來學一下 • 直接舉例一條指令 • mov rax, 0 • 將 0 放進 RAX 暫存器裡面 85
86. x86 組合語言 • 除了 mov 搬移指令以外, 還有很多很多很多的指令 • 遇到沒看過的就菇狗關鍵字 “x86 <指令>” • 加 add • 減 sub • 乘 mul • 除 div • 呼叫 call • 返回 ret • 跳 jmp 86
87. x86 組合語言 • 單一條組語, 作用通常都很簡單 87 ASM C
88. x86 組合語言 88
89. x86 組合語言 89
90. x86 組合語言 • 單一條組語, 作用通常都很簡單 • 一坨組語喇在一起, 就不是很容易看懂他在幹嘛了 • 用 ghidra 打開 chall/1_hello/hello.exe 90
91. Ghidra • 創一個新 project • 自訂 Project 目錄以及名稱 91
92. Ghidra • 匯入我們要分析的程式 92
93. Ghidra • 匯入我們要分析的程式 93
94. Ghidra • 點兩下匯入好的程式, 打開分析畫面 • 讓他跑一些分析 94
95. Ghidra • 最終蹦出分析畫面 • 按一下 g, 輸入 entry 直接跳到程式進入點 95
96. Ghidra 96
97. Ghidra 97 組合語言 反編譯 Symbol
98. Ghidra • 在進入 main 前會執行一些初始化工作 • 在反編譯視窗中找長得像是 main(int argc, char *argv[], char *envp[]) 的 function call • 點進去該 function (FUN_1400010e0) 98
99. Ghidra • 其實這個 function 就是我們原本的 main 99
100. Ghidra • 嘗試看看 main 的組語 • 一坨組語喇在一起, 就不是很容易看懂他在幹嘛了 100
101. x86 組合語言 • 人類讀高階程式語言比直接讀組合語言快 • 若能知道對應的高階程式語言會變成什麼樣的組語 • 就能更快速的讀組語 • 以下來看看各種高階程式語言語法變成組語會長怎樣 • demo/1_observe_c 101
102. if 102
103. if 103
104. for 104
105. for 105
106. 條件 jmp • 配合 cmp / test • 迴圈會往回跳 / If 只會往前跳 106 je / jz 相同 / 為 0 jne / jnz 不同 / 不為 0 jb / jl 無符號 / 有符號 小於 ja / jg 無符號 / 有符號 大於 jnb / jnl 無符號 / 有符號 不小於 Jna / jng 無符號 / 有符號 不大於
107. Array 107
108. Array 108 一格多大 第幾格 要寫什麼 一格多大 第幾格 要寫什麼
109. Array 109 超出範圍照樣能編譯
110. Struct 110
111. Struct 111
112. Struct 112 name data name id 可以觀察到 compiler 將 RSP + 0x70 的位址當 id RSP + 0x74 的位址當 name 起始位址 將 RSP + 0x80 當 data 0 3 4 7 8 b c f 0x70 0x80 name d e
113. Struct 113 name data name id 有兩 Byte 沒有用到 0 3 4 7 8 b c f 0x70 0x80 name d e
114. Struct • Struct alignment 114
115. Call function 115
116. x86 Calling Convention • 規定了呼叫函數時如何傳遞參數 • Windows • Function(rcx, rdx, r8, r9) • Linux • Function(rdi, rsi, rdx, rcx, r8, r9) • 多的參數會放到 stack 上 116
117. 區域變數 vs 全域變數 117
118. 區域變數 vs 全域變數 118 • 全域變數: 直接寫到特定位址 • 區域變數: 以 RSP 來定位
119. x64dbg 119 組合語言 資料視窗 Stack 暫存器
120. Endian • Byte 的順序 • 一個整數 0x12345678， 兩種儲存方式 120 0x78 0x56 0x34 0x12 0x12 0x34 0x56 0x78 3 2 1 0 3 2 1 0 Little Endian Big Endian
121. Endian • 常見是用 Little Endian • 將 int 0x12345678 轉成 short 0x5678, 起始位址不用改變 121 0x78 0x56 0x34 0x12 3 2 1 0 Little Endian int short byte
122. x64dbg 122 組合語言 資料視窗 Stack 暫存器
123. Stack Frame • Q1: 函數都是以 RSP 或 RBP 來定位區域變數， 那怎麼區別不同函 數的區域變數? • Q2: 呼叫函數後, RIP 就從 A 函數跑到 B 函數了， 要怎麼 return 回 A 函數? • 如果不知道答案， 那你就需要看一下這章 123
124. Stack Frame • 不同區域會有不同的 Stack Frame • 裡面存放著區域變數 • 在 Function 的頭部和尾部, 有一些用來處理 Stack Frame 的指令 • 頭部: Prologue • 尾部: Epilogue 124 push rbp mov rbp, rsp … leave ret main
125. Stack Frame 125 RSP 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 Stack
126. Stack Frame 126 RSP 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 Stack
127. Stack Frame 127 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RSP RBP 原本的值 0x00007fffffffe5c0 Stack
128. Stack Frame 128 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RSP RBP 原本的值 0x00007fffffffe5c0 Stack RBP
129. Stack Frame 129 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 Main Stack Frame
130. Stack Frame 130 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 Main Stack Frame
131. Stack Frame 131 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598
132. Stack Frame 132 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590
133. Stack Frame 133 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590
134. Stack Frame 134 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590 0x00007fffffffe560 Function1 Stack Frame
135. Stack Frame 135 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack RBP RSP 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590 0x00007fffffffe560 Function1 Stack Frame leave = mov rsp, rbp pop rbp
136. Stack Frame 136 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590 0x00007fffffffe560 Function1 Stack Frame leave = mov rsp, rbp pop rbp RSP RBP
137. Stack Frame 137 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590 0x00007fffffffe560 Function1 Stack Frame leave = mov rsp, rbp pop rbp RBP RSP
138. Stack Frame 138 0x00007fffffffe5c8 push rbp mov rbp, rsp sub rsp, 20h … call function1 leave ret main push rbp mov rbp, rsp sub rsp, 30h … leave ret function1 RBP 原本的值 0x00007fffffffe5c0 Stack 0x00007fffffffe5a0 0x401234 0x401234 Main Stack Frame 0x00007fffffffe598 0x00007fffffffe5c0 0x00007fffffffe590 0x00007fffffffe560 Function1 Stack Frame leave = mov rsp, rbp pop rbp RSP
139. Stack Frame • 統整一下 139 Stack RSP 上層函數的 Stack Frame RBP Return Address … Old RBP 目前函數的 Stack Frame Old RBP
140. Stack Frame • Q1: 函數都是以 RSP 或 RBP 來定位區域變數， 那怎麼區別不同函 數的區域變數? • A1: 想辦法讓不同函數的 stack 區域不同 • Q2: 呼叫函數後, RIP 就從 A 函數跑到 B 函數了， 要怎麼 return 回 A 函數? • A2: 在呼叫 B 函數前把下一條指令 push 進 stack B 函數執行 ret 把 A 函數下一條指令從 stack pop 回 rip 進而回到 A 函數 140
141. x86 組合語言 • 看完這個章節之後， 你應該… • 略懂暫存器 • 略懂 x86 組合語言 • 略懂 endian • 略懂 stack frame • 會用 Ghidra 找到 main 函數 141
142. 分析方法 142
143. 分析方法 • 分析方法分成動態 / 靜態分析 143
144. 分析方法 • 如果你用工具來讓程序跑跑停停，在這過程中分析程序內部邏輯， 這叫做動態分析 144
145. 分析方法 • 如果你只看反組譯/反編譯的 code 來分析這個叫做靜態分析 145
146. 分析方法 • 實務上為兩者交叉使用，看個人喜好方式 • 靜態分析工具 (反組譯, 反編譯, 分析函數, 重新命名函數/變數) • IDA • Ghidra • 動態分析工具 (設定中斷點, 觀察暫存器、 記憶體內容, 觀察位址空間) • x64dbg • windbg • gdb 146
147. 分析方法 • 接下來示範一下動靜態交叉分析 • 動態分析工具選用 x64dbg • 靜態分析工具選用 Ghidra • 前面的章節我們已經用 Ghidra 找到 hello.exe 的 main 了 • 接續著介紹其他功能 147
148. Ghidra • 各種快捷鍵 : Ghidra cheatsheet 148
149. Ghidra • 函數改名 • 對我們剛找到的 main 函數按 L 改名 • 已經點進去了想退回來? 按 Alt + ← 149
150. Ghidra • 變數改名 • 接著也幫 main 的參數改名一下, 依序改成 argc, argv, envp 150
151. Ghidra • 變數改名 • 改掉裡面一些區域變數的名稱, 比如說… 151
152. Ghidra • 看到一個不知道在幹嘛的函數, 你有兩個選項 • 一, 點進去乖乖把他逆完 • 二, 用動態分析工具直接跑他, 觀察發生什麼事情來推斷這函數在 幹嘛 152
153. Ghidra • 來示範一下第二個選項 • 先看一下他的記憶體位址 • 在 0x140001131 呼叫了 FUN_140001020 153
154. Ghidra • 在 0x140001131 呼叫了 FUN_140001020 • 用 PE-Bear 看 ImageBase 多少: 0x140000000 • RVA = VA – ImageBase = 0x140001131 – 0x140000000 = 0x1131 154
155. x64dbg • 將 hello.exe 拖進去 x64dbg • 先找到這次 ASLR 隨機產生的 ImageBase: 0x7ff676150000 • VA = ImageBase + RVA = 0x7ff676150000 + 0x1131 = 0x7ff676151131 155
156. x64dbg • 按 ctrl+g 後, 輸入想去的位址, 這邊我們想去 0x7ff676151131 156
157. x64dbg • 我們就到了執行時期中, 我們想觀察的函數的位址了 • 點一下那條 call hello.7ff676151020 指令 • 按 F2 設定中斷點 157
158. x64dbg • 設定好中斷點後, 就能按 f9 讓他繼續執行 • 再多按幾次 f9, 讓程式跑到我們設定的中斷點 158
159. x64dbg • 這時候觀察一下該 function call 之前設定了哪些參數 • 只有設定了 rcx, 看一下 rcx 內容 • 點一下資料視窗中間, 然後按 ctrl+g, 輸入 rcx 159
160. x64dbg • 看到了 rcx 指向著一段文字 • 文字以 \x00 結尾, 因此這串字串是 “What’s your name?\n” 160
161. x64dbg • 觀察完參數後, 按下 f8 步過此函數 • f7 是步入, 會走進函數裡面 • f8 是步過, 會走完這個函數 • 可以發現視窗輸出了剛剛第一個參數指向的字串 • 所以我們姑且先判斷此函數是 puts 或 printf 之類的函數 161
162. Ghidra • 在 0x140001131 呼叫了 FUN_140001020 • 回來 Ghidra, 點進去 FUN_140001020 裡面看 • 發現他實際上還會呼叫 __stdio_common_vfprintf 162
163. Ghidra • 綜合以上觀察, 判斷他是 printf, 把他改名 • 改一下他的參數型態, 對著函數名稱右鍵選擇 Edit Function Signature 163
164. Ghidra • 但 Ghidra 目前對於參數數量不一定的函數, 支援度比較差 • 可以看到第二個 printf 應該是要兩個參數的 • 目前解法是對第二個 printf 右鍵選擇 Override Signature 164
165. Ghidra • 只能先手動校正 165
166. Ghidra • 那個 FUN_140001080 是什麼? • 看一下他第一個參數, 對他點兩下 • “%32s” 166
167. Ghidra • 前面問你叫什麼名字 • 接下來呼叫 FUN_140001080, 帶著 “%32s” 跟 local_258 呼叫 • 接下來跟你說 Hello • 實驗一下就知道 FUN_140001080 是 scanf • 而 local_258 也能順著程式的含意, 將他命名為 names 167
168. Ghidra • 這程式反編譯的算不錯 • 有些程式反編譯根本不能看, 只能 老老實實看組語 • 點上面的 Display Function Graph • 這個介面看組語友善多了 168
169. Ghidra • 剩下交給你逆了, hello.exe 其實會寫一個檔案, 試著找出裡面究竟 寫了什麼吧 169
170. ELF 逆向工程 170
171. ELF 逆向工程 • 上面的章節都是以 Windows exe 來舉例, 目的是讓大家先從熟悉 的環境開始 • 接著來帶一下很基礎的 ELF 逆向 171
172. ELF 逆向工程 • 前面有提到不同 OS 是如何載入程式的方式大同小異 • 頭部結構 • Windows: PE (Portable Executable) Header • Linux: ELF (Executable and Linkable Format) • 載入後， 就從程式進入點開始執行 • 基於篇幅的原因, 這裡就只講 ELF 的程式進入點之類的怎麼看 172
173. ELF 逆向工程 173 ELF 檔案開頭固定為 \x7fELF DYN 表示其啟用 PIE 程式進入點 offset
174. PIE • PIE (Position Independent Executable) • 與 ASLR 類似 • 隨機化程式起始的位址 174
175. 關閉 PIE / ASLR ? • Q: Windows 的 PE format 可以將 ASLR 關閉， 那 Linux 的 ELF format 能不能關掉 ASLR 跟剛剛說的 PIE? • ASLR 不是 ELF format 決定要不要開, 是 kernel 的設定, 要關 ASLR 要去設定 kernel • PIE 理論上是可以關閉, 但要做的修改不像改 PE 的 ASLR 去掉某 個 bit 這麼簡單, 實務上至少我沒有找到工具可以關 PIE, 但其實不 關也沒關係 175
176. ELF 逆向工程 • 在 Linux 中, 不知道某個檔案是什麼, 可以先用 file 指令看一下 176
177. ELF 逆向工程 • ELF x64 檔案 177
178. ELF 逆向工程 • 啟用 PIE 178
179. ELF 逆向工程 • 有連結到其他 library 179
180. ELF 逆向工程 • Debug symbol 有留下來 180
181. ELF 逆向工程 • 組語的部分都跟前面講的一樣 • 注意 calling convention 與 windows 不同 181
182. 分析方式 • 靜態的部分一樣能使用 Ghidra 進行 • 動態的部分這邊介紹使用 gdb 進行 • 實務上也是交叉使用, 就只是換了動態 debug 的工具 182
183. gdb • 下斷點 • breakpoint • b 183
184. gdb • 執行 • run • r 184
185. gdb • 繼續執行 • continue • c 185
186. gdb • 步過 • ni 186
187. gdb • 步入 • si 187
188. gdb • 秀出記憶體內容 • x/<幾個><格式><尺寸> <記憶體位址> • e.g. • x/16xg 0x1000 • 秀出從 0x1000 開始的 16 個以十六進制 (x) 格式表示的 8 Bytes(g) 188
189. 逆向工程技巧 189
190. 逆向工程技巧 • 逆向工程的做法你可以 1. 整支程式從頭逆向到尾 2. 只挑重點逆向, 挑你感興趣的部分逆向 • 第二個做法是什麼意思??? 190
191. 逆向工程技巧 • 想像一下, 你要開發一支後門程式, 勢必要連線到你的後門 • 連線要用到跟網路相關的 Windows API / Library Function • 這時候你就可以從程式在哪裡呼叫到這些函數開始逆向 191
192. 逆向工程技巧 • 想像一下一支正常給使用者用的程式, 多多少少要告訴使用者一 些資訊吧, 就會有一些固定的字串 • 比如說 “登入失敗”、 “密碼:” …… • 就可以從程式在哪邊用到這些字串開始逆向 192
193. 逆向工程技巧 • 總之方法很多 • 想辦法找到一支程式你感興趣的程式碼區間 • 但有的時候很難 193
194. 逆向工程技巧 • 另外有的時候, 你不用老老實實的逆完整個函數 • 直接從輸入進去的東西是什麼, 輸出的東西是什麼, 來直接猜函數 在幹嘛 • 就像前幾個章節中, 我們猜出 scanf 的過程 • 簡單來說就是 通靈 194
195. 逆向工程技巧 • 找特別函數 195 組合語言 反編譯 Symbol
196. 逆向工程技巧 • 找特別函數 • 看這支函數連結哪些函數庫 • Kernel32.dll 是 windows 中提供很 多函數的函數庫 196
197. 逆向工程技巧 • 這支程式用到 WriteFile • 點兩下 197
198. 逆向工程技巧 • 這支程式用到 WriteFile • 要怎麼找到用到 WriteFile 的位址? 198
199. 逆向工程技巧 • 對他按右鍵 • Show References to 199
200. 逆向工程技巧 • 就能找到程式中呼叫到 WriteFile 的位址了 200
201. 逆向工程技巧 • 實務上會刻意留意的函數很多 • 可以參考 reference 連結 201 Ref: https://resources.infosecinstitute.com/topic/windows-functions-in-malware-analysis-cheat-sheet-part-2/
202. 逆向工程技巧 • 找字串 202
203. 逆向工程技巧 • 設定找怎麼樣的字串 203
204. 逆向工程技巧 • 結果出爐 204
205. 逆向工程技巧 • 找字串在 Linux 中還可以用指令 strings 簡單完成 205
206. 206 Q & A
207. 207 感謝收聽 疫情期間 少出門 勤洗手