फ़ंक्शन और डेटा की पहचान

Ghidra या IDA Pro जैसे अधिकांश डिसअसेंबलर में बाइनरी के भीतर पहचानी गई सभी स्ट्रिंग की सूची दिखाने वाली एक समर्पित सुविधा होती है। इससे आपको कच्चे बाइट को स्वयं स्कैन करने की आवश्यकता नहीं पड़ती।

जब आपको कोई दिलचस्प स्ट्रिंग मिलती है, तो आम तौर पर आप उसका क्रॉस-रेफ़रेंस देख सकते हैं और पता लगा सकते हैं कि कोड में उसका उपयोग कहाँ हो रहा है। इससे आप तुरंत संबंधित फ़ंक्शन तक पहुँच जाते हैं।

फ़ंक्शन (या सबरूटीन) किसी विशिष्ट कार्य को करने के लिए बनाया गया कोड का एक स्वतंत्र खंड होता है। प्रोग्राम कई ऐसे फ़ंक्शन से बने होते हैं जो एक-दूसरे को कॉल करते हैं।

फ़ंक्शन की पहचान करने से आप जटिल प्रोग्राम को छोटे, व्यवस्थित हिस्सों में बाँट सकते हैं, जिससे उसके समग्र तर्क और प्रवाह को समझना आसान हो जाता है।

फ़ंक्शन अक्सर निर्देशों की एक विशेष शृंखला से शुरू होते हैं, जिसे प्रोलॉग कहा जाता है। यह तैयारी आम तौर पर लोकल चरों के लिए स्टैक तैयार करती है और पिछले स्टैक फ़्रेम को सहेजती है।

एक सामान्य x86 प्रोलॉग इस प्रकार दिखता है:

push ebp
mov ebp, esp

यह शृंखला पुराने बेस पॉइंटर को स्टैक पर पुश करती है और वर्तमान स्टैक पॉइंटर को नए बेस पॉइंटर के रूप में सेट करती है।

जिस तरह फ़ंक्शन के प्रवेश बिंदु होते हैं, उसी तरह उनके निकास बिंदु भी होते हैं, जिन्हें एपिलॉग चिह्नित करता है। एपिलॉग स्टैक को फ़ंक्शन कॉल से पहले की स्थिति में पुनर्स्थापित करता है और नियंत्रण कॉल करने वाले फ़ंक्शन को वापस देता है।

एक सामान्य x86 एपिलॉग इस प्रकार हो सकता है:

mov esp, ebp
pop ebp
ret

यह स्टैक पॉइंटर को पुनर्स्थापित करता है, पुराने बेस पॉइंटर को पॉप करता है और फ़ंक्शन से लौटता है।

अधिकांश प्रोग्राम सिस्टम लाइब्रेरी के फ़ंक्शन का उपयोग करते हैं (जैसे स्क्रीन पर प्रिंट करने, फ़ाइल इनपुट-आउटपुट और नेटवर्क संचार के लिए)। डिसअसेंबलर अक्सर इन्हें आपके लिए पहचान सकते हैं।

वे ऐसा आयात किए गए प्रतीकों (जैसे Windows की PE फ़ाइलों में Import Address Table या Linux की ELF फ़ाइलों में Procedure Linkage Table) को देखकर या ज्ञात फ़ंक्शन हस्ताक्षरों से मिलान करके करते हैं।

कोड के अलावा, बाइनरी में विभिन्न डेटा अनुभाग होते हैं। इन्हें समझने से आपको वैश्विक चर, नियतांक और प्रोग्राम-व्यापी अन्य जानकारी का स्थान पता लगाने में सहायता मिलती है:

• .data: आरंभ किए गए वैश्विक और स्थिर चर।
• .bss: आरंभ न किए गए वैश्विक और स्थिर चर (रनटाइम पर शून्य किए जाते हैं)।
• .rdata: केवल-पठन योग्य डेटा, जैसे स्ट्रिंग और नियतांक।

डिसअसेंबलर में इन अनुभागों को आम तौर पर स्पष्ट रूप से नाम दिया जाता है।

वैश्विक और लोकल चरों में अंतर करना महत्वपूर्ण है। वैश्विक चर पूरे प्रोग्राम में सुलभ होते हैं और आम तौर पर .data या .bss अनुभागों में संग्रहीत किए जाते हैं।

दूसरी ओर, लोकल चर फ़ंक्शन कॉल किए जाने पर स्टैक पर बनाए जाते हैं और केवल उसी फ़ंक्शन के भीतर सुलभ होते हैं। आम तौर पर उनका संदर्भ स्टैक फ़्रेम पॉइंटर के सापेक्ष दिया जाता है (जैसे [ebp-0x4])।

आपने स्थैतिक विश्लेषण की मूलभूत तकनीकें सीख ली हैं!

• स्ट्रिंग्स कार्यक्रम की कार्यक्षमता के बारे में तुरंत जानकारी देती हैं।
• फ़ंक्शन के आरंभिक और अंतिम भाग कोड की सीमाएँ निर्धारित करने में मदद करते हैं।
• पुस्तकालय फ़ंक्शनों को पहचानने से विश्लेषण तेज़ हो जाता है।
• डेटा अनुभागों (.data, .bss, .rdata) को समझने से वैश्विक चर और स्थिरांक ढूँढ़ने में मदद मिलती है।

डिसअसेंबल की गई बाइनरी फ़ाइलों को समझने और उनमें आगे बढ़ने के लिए ये कौशल आवश्यक हैं।