Identifikation af funktioner og data

De fleste disassemblere, som Ghidra eller IDA Pro, har en dedikeret funktion, der viser alle identificerede strenge i en binærfil. Det sparer dig for manuelt at gennemgå de rå bytes.

Når du finder en interessant streng, kan du normalt bruge en krydshenvisning til at se, hvor i koden den bruges. Det peger dig med det samme hen på relevante funktioner.

En funktion (eller underrutine) er en selvstændig kodeblok, der er designet til at udføre en bestemt opgave. Programmer består af mange funktioner, der kalder hinanden.

Når du identificerer funktioner, kan du opdele et komplekst program i mindre, overskuelige dele, så det bliver lettere at forstå programmets overordnede logik og flow.

Funktioner begynder ofte med en bestemt instruktionssekvens, der kaldes en prolog. Denne opsætning gør typisk stakken klar til lokale variable og gemmer den forrige stakramme.

En almindelig x86-prolog ser sådan ud:

push ebp
mov ebp, esp

Denne sekvens skubber den gamle base pointer på stakken og angiver den aktuelle stack pointer som den nye base pointer.

Ligesom funktioner har indgangspunkter, har de også afslutningspunkter, der markeres af en epilog. Epilogen gendanner stakken til dens tilstand før funktionskaldet og giver kontrollen tilbage til den kaldende funktion.

En typisk x86-epilog kan se sådan ud:

mov esp, ebp
pop ebp
ret

Den gendanner stack pointeren, henter den gamle base pointer fra stakken og returnerer fra funktionen.

De fleste programmer bruger funktioner fra systembiblioteker (for eksempel til at skrive på skærmen, udføre fil-I/O eller kommunikere over netværk). Disassemblere er ofte intelligente nok til at identificere disse for dig.

Det gør de ved at se på importerede symboler (som Import Address Table i Windows PE-filer eller Procedure Linkage Table i Linux ELF-filer) eller ved at sammenligne med kendte funktionssignaturer.

Ud over kode indeholder binærfiler forskellige datasektioner. Når du forstår dem, bliver det lettere at finde globale variable, konstanter og andre oplysninger, der gælder for hele programmet:

• .data: Initialiserede globale og statiske variable.
• .bss: Ikke-initialiserede globale og statiske variable (nulstilles under kørsel).
• .rdata: Skrivebeskyttede data, f.eks. strenge og konstanter.

Disse sektioner er normalt tydeligt mærket i disassemblere.

Det er vigtigt at kunne skelne mellem globale og lokale variable. Globale variable er tilgængelige i hele programmet og gemmes normalt i sektionerne .data eller .bss.

Lokale variable oprettes derimod på stakken, når en funktion kaldes, og er kun tilgængelige i den pågældende funktion. Der refereres typisk til dem i forhold til stakrammens pointer (f.eks. [ebp-0x4]).

Du har lært grundlæggende teknikker til statisk analyse!

• Strenge giver et hurtigt indblik i programmets funktionalitet.
• Funktionsprologer og -epiloger hjælper med at afgrænse kode.
• Ved at genkende biblioteksfunktioner går analysen hurtigere.
• En forståelse af datasektioner (.data, .bss, .rdata) hjælper dig med at finde globale variabler og konstanter.

Disse færdigheder er afgørende, når du skal navigere i og forstå disassemblerede binærfiler.