Grundlæggende reverse engineering-teknikker

Reverse engineering (RE) er processen, hvor software analyseres for at forstå dens indre funktioner uden adgang til den oprindelige kildekode. Tænk på det som at være detektiv for programmer!

Det indebærer, at du tager et kompileret program (en binærfil) og arbejder baglæns for at finde ud af, hvad det gør, hvordan det gør det og nogle gange hvorfor.

Til reverse engineering bruger du primært to slags værktøjer:

• Dekodere: Disse værktøjer omdanner maskinkode (et programs rå bytes) tilbage til assemblysprog, som mennesker kan læse. Populære eksempler er objdump, IDA Pro og Ghidra. De er dine "øjne" ind i programmets instruktioner.
• Fejlfindere: Værktøjer som GDB (GNU Debugger) lader dig køre et program trin for trin, sætte udførelsen på pause og undersøge indholdet af registre og hukommelse på ethvert tidspunkt. De er dine "hænder", når du interagerer med det kørende program.

I denne lektion analyserer du et enkelt x86-assemblyprogram. Forestil dig, at du kun har den kompilerede version og skal finde frem til logikken!

Programmet simulerer et grundlæggende "adgangskodetjek" ved at sammenligne to hardkodede værdier og udskrive en meddelelse baseret på resultatet.

Først kompilerer vi vores assemblyprogram til en eksekverbar fil. På Linux indebærer det typisk en assembler (som NASM) og en linker (som LD).

nasm -f elf32 program.asm -o program.o
ld -m elf_i386 program.o -o program

Derefter bruger vi en dekoder som objdump for at se maskinkoden omdannet tilbage til assembly:

objdump -d program

Her er et udsnit af det, du muligvis ser:

08048060 <_start>:
8048060: b8 d2 04 00 00 mov $0x4d2,%eax
8048065: bb 36 16 00 00 mov $0x1636,%ebx
804806a: 39 d8 cmp %ebx,%eax
804806c: 74 1c je 804808a <.access_granted>

Når du udfører reverse engineering, er programmets startpunkt noget af det første, du leder efter. Det er her, udførelsen begynder.

For Linux-eksekverbare filer, der er kompileret fra assembly, hedder startpunktet ofte _start. I vores dekodede output kan du se etiketten <_start> på adressen 08048060.

Det fortæller dig præcis, hvor CPU'en begynder at udføre instruktioner, når programmet indlæses.

For at forstå et programs logik skal du følge dets udførelsesforløb. Instruktioner med betingede spring er afgørende for at forstå beslutninger, f.eks. if/else-sætninger.

I vores eksempel ser vi efter sammenligningen af eax og ebx med cmp %ebx,%eax je 804808a <.access_granted>.

• cmp: Sammenligner to værdier og indstiller CPU-flag.
• je (Jump if Equal): Hvis sammenligningen gav et lighedstegn, springer udførelsen til adressen 0804808a (vores blok .access_granted).
• Hvis værdierne ikke er ens, fortsætter udførelsen med den næste instruktion i rækkefølgen (blokken .access_denied).

Programmer interagerer med operativsystemet gennem systemkald. På Linux x86 (32-bit) startes de typisk med instruktionen int 0x80.

Før int 0x80 indlæses bestemte registre med værdier:

• eax: Indeholder systemkaldets nummer, f.eks. 4 for sys_write og 1 for sys_exit.
• ebx, ecx, edx: Indeholder argumenter til systemkaldet, f.eks. fildeskriptor, bufferadresse og længde for sys_write.

Ved at observere disse mønstre kan du identificere handlinger som at skrive til konsollen eller afslutte programmet.

Meddelelser og andre statiske data gemmes i datasektioner i binærfilen. Du kan ofte se dem med objdump -s -j .data program eller objdump -s -j .rodata program.

I assemblykoden ser du instruktioner, der indlæser adressen på disse strenge i et register, f.eks. mov ecx, 0x8049080, hvor 0x8049080 peger på en streng.

I vores eksempel findes meddelelserne "Access granted!" og "Access denied." i sektionen .data, og deres adresser sendes til sys_write.

Ved at samle alle disse observationer kan vi genskabe programmets oprindelige logik:

• Det starter ved _start.
• Det indlæser to bestemte heltalsværdier i eax og ebx.
• Det sammenligner disse to værdier.
• Hvis de er ens, springer det til en sektion, der udskriver "Access granted!" i konsollen.
• Hvis de ikke er ens, fortsætter det til en sektion, der udskriver "Access denied." i konsollen.
• Efter udskrivningen afsluttes programmet korrekt.

Dette er essensen af reverse engineering: at forstå programmets hensigt og adfærd ud fra dets kompilerede form.

I denne lektion har du lært de grundlæggende teknikker inden for reverse engineering:

• At forstå, hvad RE er, og hvorfor det er vigtigt.
• At identificere vigtige værktøjer som deassembleringsværktøjer (objdump) og fejlfindere (GDB).
• At finde programmets startpunkt (_start).
• At følge programmets forløb ved hjælp af betingede spring (cmp, je).
• At genkende systemkald (int 0x80) og deres parametre.
• At udtrække meningsfulde strenge og data fra den binære fil.

Ved at anvende disse teknikker kan du begynde at genskabe programmers logik og funktionsmåde, selv uden deres oprindelige kildekode!