Johdanto disassembly-työkaluihin

Tervetuloa! Tässä oppitunnissa opitte disassemblysta eli konekoodin purkamisesta. Pohjimmiltaan tietokone suorittaa ohjelmia raakamuotoisena konekoodina – binäärilukujen sarjoina.

Disassembly tarkoittaa prosessia, jossa nämä matalan tason käskyt muunnetaan takaisin ihmiselle luettavaan assemblykielen muotoon. Se muistuttaa ohjelman rakennuspiirustusten selvittämistä takaperin, jotta näemme, miten ohjelma on rakennettu.

Miksi disassembly on niin tärkeää? Sen avulla voimme ymmärtää ohjelmistoja, kun alkuperäistä lähdekoodia ei ole saatavilla. Tämä on tärkeää useilla aloilla:

• Haittaohjelmien analysointi: Haittaohjelmien toiminnan selvittäminen.
• Haavoittuvuustutkimus: Käännettyjen ohjelmien tietoturva-aukkojen etsiminen.
• Ohjelmistojen auditointi: Ohjelman toiminnan varmistaminen erityisesti kriittisissä sovelluksissa.
• Yhteentoimivuus: Eri ohjelmistokomponenttien matalan tason vuorovaikutuksen ymmärtäminen.

Selvennetään ero:

• Konekoodi: Raakamuotoisia binäärikäskyjä, jotka esitetään usein heksadesimaalisina tavuina, esimerkiksi 0x8B 0xC0. Suoritin suorittaa nämä suoraan.
• Assemblykieli: Tarjoaa konekoodille symboliset esitykset eli mnemoniikat, esimerkiksi MOV EAX, EBX. Se on ihmisen luettava muoto suorittimen natiivikäskyistä.

Disassemblerit suorittavat tämän muunnoksen ja tekevät ohjelman taustalla olevasta logiikasta ymmärrettävää.

Yksi Linux-järjestelmien yleisimmistä komentorivityökaluista disassemblyyn on objdump. Se kuuluu GNU Binutils -pakettiin.

objdump on monipuolinen työkalu, jolla voi näyttää tietoja objektitiedostoista ja suoritettavista tiedostoista. Disassemblyssä käytämme ensisijaisesti -d-valitsinta, joka purkaa kaikki osiot, joiden odotetaan sisältävän suoritettavia käskyjä.

Käytetään yksinkertaista C-ohjelmaa käsitteen havainnollistamiseen. Kun käännätte tämän C-koodin, se muuttuu konekoodiksi. Tämän jälkeen voitte käyttää käännettyyn suoritettavaan tiedostoon objdump-työkalua ja nähdä sen assemblyn!

Linux-järjestelmässä käännätte ohjelman komennolla gcc -o hello hello.c. Sen jälkeen voitte käyttää komentoa objdump -d hello nähdäksenne kääntäjän tuottamat assembly-käskyt.

Kun suoritatte komennon objdump -d suoritettavalle tiedostolle, tuloste näkyy useaan sarakkeeseen jäsenneltynä:

• Ensimmäinen sarake sisältää käskyn muistiosoitteen.
• Seuraava sarake näyttää raakatason konekooditavut heksadesimaalimuodossa.
• Lopuksi näette assembly-käskyn (mnemoniikan) ja sen operandit.

Esimerkiksi 40052d: b8 01 00 00 00 mov $0x1,%eax tarkoittaa: "osoitteessa 0x40052d tavut b8 01 00 00 00 edustavat käskyä mov $0x1,%eax", mikä tarkoittaa "siirrä arvo 1 EAX-rekisteriin".

Vaikka objdump sopii erinomaisesti nopeaan komentorivillä tehtävään tarkasteluun, IDA Pro (Interactive Disassembler Professional) tarjoaa vakavaan käänteismallinnukseen huomattavasti monipuolisemman ja vuorovaikutteisemman kokemuksen.

IDA Pro tarjoaa graafisen käyttöliittymän, tunnistaa funktiot automaattisesti, muodostaa ohjausvuokaavioita ja mahdollistaa laajan analyysin ja kommentoinnin. Se tukee lukuisia suoritinarkkitehtuureja ja tiedostomuotoja, joten se on alan standardi.

Edistyneissä disassemblereissa on tehokkaita ominaisuuksia, jotka helpottavat huomattavasti monimutkaisten binääritiedostojen ymmärtämistä:

• Ohjausvuokaavio (CFG): Visuaalinen esitys kaikista funktion mahdollisista suorituspoluista.
• Ristiviittaukset: Näyttää, missä dataan tai funktioihin viitataan eli niitä luetaan, kirjoitetaan tai kutsutaan.
• Symbolien tunnistus: Tunnistaa ja nimeää tunnetut funktiot, kuten printf-funktion, sekä järjestelmäkutsut automaattisesti.
• Vuorovaikutteinen uudelleennimeäminen: Käyttäjät voivat antaa merkityksellisiä nimiä osoitteille, muuttujille ja funktioille.
• Laajennustuki: Laajentaa toiminnallisuutta kolmannen osapuolen tai mukautettujen skriptien avulla.

Disassembly ei ole aina suoraviivaista. Kehittäjät tai haittaohjelmien tekijät saattavat käyttää tekniikoita, jotka vaikeuttavat analysointia:

• Koodin hämärtäminen: Koodin tahallinen vaikeuttaminen sen rakennetta muuttamalla.
• Disassemblyn estotekniikat: Tietyt koodimallit, joiden tarkoitus on hämmentää disassembleria tai saada se kaatumaan.
• Puuttuvat symbolit: Ilman virheenkorjaussymboleja funktioiden ja muuttujien nimet poistetaan, ja niiden tilalle jäävät yleiset nimet.
• Dynaaminen koodi: Koodi, joka luodaan tai jota muutetaan suorituksen aikana, kuten itseään muokkaava koodi, on erityisen haastavaa staattisille disassemblereille.

Hienoa työtä! Tässä oppitunnissa tutustuimme disassemblyyn eli tärkeään prosessiin, jossa raaka konekoodi muunnetaan takaisin ihmiselle luettavaksi assemblykieleksi.

Näimme, kuinka objdump-työkalut tarjoavat perustason näkymän, kun taas tehokkaat työkalut, kuten IDA Pro, mahdollistavat edistyneen ja vuorovaikutteisen analyysin. Disassembly on keskeistä käänteismallinnuksessa ja tietoturva-analyysissä sekä sen syvällisessä ymmärtämisessä, miten ohjelmat todella toimivat suorittimen tasolla.

Seuraavaksi perehdymme käytännön käänteismallinnustekniikoihin!