Grunnleggende om reverse engineering og binæranalyse · leksjon

Binærdifferanser og analyse av patcher

Bli ekspert på teknikker for å sammenligne ulike versjoner av binærfiler, identifisere endringer og analysere sikkerhetspatcher.

Leksjon 2 av 411 trinn

Binærdifferanser og analyse av patcher er en gratis leksjon i Grunnleggende om reverse engineering og binæranalyse på CoddyKit. Dette er leksjon 2 av 4. Du kan lese valgfritt 3 leksjoner fra denne læringsstien gratis i sin helhet – deretter låser CoddyKit PRO opp alle leksjoner, samt praktisk øving med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Den er en del av læringsløpet i Grunnleggende om reverse engineering og binæranalyse, og fremdriften din synkroniseres mellom nettet og CoddyKit-appen. Kurset i Grunnleggende om reverse engineering og binæranalyse inneholder totalt 4 leksjoner.

Hva er binærdifferansering?

Velkommen til binærdifferansering og analyse av oppdateringer! Innen reverse engineering trenger vi ofte å sammenligne to versjoner av et program uten tilgang til den opprinnelige kildekoden.

Binærdifferansering er prosessen med å identifisere forskjeller mellom to kompilerte kjørbare filer. Tenk på det som en «finn forskjellene»-lek for dataprogrammer!

Denne teknikken er avgjørende for å forstå hvordan programvare endres over tid, særlig ved analyse av sikkerhetsoppdateringer eller utviklingen av skadevare.

Hvorfor sammenligne binærfiler?

Binærdifferansering gir verdifull innsikt i endringer i programvare. Her er noen viktige bruksområder:

Analyse av sikkerhetsoppdateringer: Forstå nøyaktig hvilke sårbarheter en programvareoppdatering utbedrer.
Utvikling av skadevare: Følg med på hvordan skadevarefamilier endrer taktikk og kode mellom ulike versjoner.
Programvareoppdateringer: Oppdag nye funksjoner eller utilsiktede endringer som introduseres i en programoppdatering.
Digital etterforskning: Sammenlign mistenkelige filer med kjente, pålitelige versjoner for å identifisere manipulering.

Typer binærsammenligninger

Binærdifferansering handler ikke bare om å sammenligne byte. Verktøy bruker ulike strategier:

Differansering på bytenivå: Dette er den enkleste formen, der filer sammenlignes byte for byte for å fremheve nøyaktige forskjeller. Det går raskt, men kan være misvisende på grunn av endringer i kompilatoren.
Differansering på funksjonsnivå: Mer avanserte verktøy sammenligner funksjoner basert på strukturen, kontrollflytgrafer (CFG-er) og instruksjonsmønstre. Dette kan identifisere lignende funksjoner selv om bytekoden er litt forskjellig.
Semantisk differansering: De mest avanserte teknikkene forsøker å forstå *betydningen* eller *hensikten* med koden og identifiserer funksjonelle endringer i stedet for bare strukturelle.

Verktøy for binærdifferansering

Flere spesialiserte verktøy hjelper reverse engineerer med binærdifferansering:

Ghidra: Dette gratis verktøyet med åpen kildekode, utviklet av NSA, har innebygde funksjoner for differansering og kan sammenligne funksjoner og basisblokker.
IDA Pro (med BinDiff): IDA Pro er en kommersiell disassembler med en kraftig plugin kalt BinDiff, som ofte regnes som en bransjestandard for strukturell differansering.
radare2 (radiff2): Et rammeverk med åpen kildekode for reverse engineering, som inkluderer radiff2 for binærdifferansering på kommandolinjen.
Diaphora: Et annet verktøy med åpen kildekode som fokuserer på visuell differansering av funksjoner.

Eksempel: Det opprinnelige programmet

La oss se på et enkelt C-program. Vi later som dette er den første versjonen av et program. Kopier og kjør det for å se resultatet.

#include <stdio.h>

int main() {
    int user_input = 42; // Imagine this comes from user
    printf("Processing value: %d\n", user_input);
    return 0;
}

Eksempel: Det oppdaterte programmet

Forestill deg nå at det utgis en sikkerhetsoppdatering. Utviklerne oppdaget at user_input ikke bør overskride en bestemt grense for å forhindre problemer. Her er den «oppdaterte» versjonen:

Legg merke til den nye if-setningen som validerer inndataene. Denne lille endringen vil endre den kompilerte binærfilen.

#include <stdio.h>

int main() {
    int user_input = 42; // Imagine this comes from user

    // Security patch: Validate input
    if (user_input > 100) {
        user_input = 100; // Cap at 100
    }

    printf("Processing value: %d\n", user_input);
    return 0;
}

Analysere differanseutdata

Når De kjører et binærdifferanseringsverktøy på de kompilerte versjonene av det opprinnelige og det oppdaterte programmet, vil verktøyet fremheve forskjellene.

Vanligvis vil De se:

Samsvarende funksjoner: Funksjoner som er identiske eller svært like.
Funksjoner uten samsvar: Funksjoner som finnes i den ene binærfilen, men ikke i den andre, eller som er betydelig endret.
Endrede basisblokker: Bestemte blokker med instruksjoner i samsvarende funksjoner som er endret.
Instruksjonsforskjeller: De nøyaktige assembly-instruksjonene som er lagt til, fjernet eller endret.

Målet er å finne de konkrete kodeendringene som oppdateringen introduserte.

Tolke sikkerhetsoppdateringer

Ved analyse av sikkerhetsoppdateringer er det å identifisere endringene bare det første steget. Den virkelige utfordringen er å tolke *hvorfor* endringene ble gjort, og hvilken sårbarhet de håndterer.

Se etter mønstre som:

Nye kontroller av inndata, slik som i eksempelet vårt.
Endringer i allokering eller frigjøring av minne.
Fjerning av farlige funksjoner eller kall.
Grensekontroller ved tilgang til matriser.
Endringer i kryptografiske implementasjoner.

Disse sporene hjelper Dem med å forstå den opprinnelige sårbarheten og kontrollere at utbedringen er effektiv.

Utfordringer ved differansering

Binærdifferansering er ikke alltid enkelt. Kompilatorer kan introdusere mange små endringer:

Kompilatoroptimaliseringer: Ulike optimaliseringsnivåer kan endre den genererte assembly-koden drastisk.
Flytting av kode: Funksjoner eller data kan flyttes i minnet, noe som gjør differansering på bytenivå vanskelig.
Tilsløring: Teknikker mot reverse engineering gjør binærfiler med hensikt vanskeligere å differansere.

Avanserte verktøy bruker sofistikerte algoritmer for å overvinne disse utfordringene og fokuserer på strukturelle og semantiske likheter.

Hurtigsjekk: Fordeler ved differansering

Binærdifferansering er en kraftig teknikk innen reverse engineering. Hva er de viktigste fordelene ved å utføre binærdifferansering?

Besvar den i den interaktive leksjonen

Oppsummering: Mestre binærsammenligninger

De har nå utforsket de viktigste konseptene innen binærdifferansering og analyse av oppdateringer!

Vi har lært at binærdifferansering sammenligner to kompilerte programmer for å finne forskjeller uten kildekode.
Det er avgjørende for å analysere sikkerhetsoppdateringer, følge utviklingen av skadevare og forstå programvareoppdateringer.
Ulike typer differansering, som differansering på byte- og funksjonsnivå, samt spesialiserte verktøy som Ghidra og BinDiff, hjelper med denne prosessen.
Å tolke resultatet innebærer å forstå *hvorfor* endringene ble gjort, særlig ved sikkerhetsutbedringer.

Denne ferdigheten er uvurderlig for å få dyp innsikt i programvareatferd og sikkerhet.

Gratis å komme i gang

Lær deg Assembly med en AI-veileder – gratis

Skriv og kjør ekte kode i nettleseren, få umiddelbar hjelp fra en AI-veileder som er tilgjengelig døgnet rundt, og fortsett der du slapp – på nettet eller i appen.

Kurs: 12
Leksjoner: 48

Start læringen gratis Se hele kurset

Ofte stilte spørsmål

Er leksjonen «Binærdifferanser og analyse av patcher» gratis?

Ja – du kan lese valgfritt 3 av leksjonene i læringsstien Grunnleggende om reverse engineering og binæranalyse, inkludert «Binærdifferanser og analyse av patcher», gratis i sin helhet her på nettet. Deretter låser CoddyKit PRO opp alle leksjoner, samt interaktiv øving med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Kurset i Grunnleggende om reverse engineering og binæranalyse inneholder totalt 4 leksjoner.

Hva lærer jeg i «Binærdifferanser og analyse av patcher»?

Bli ekspert på teknikker for å sammenligne ulike versjoner av binærfiler, identifisere endringer og analysere sikkerhetspatcher. Du øver på Grunnleggende om reverse engineering og binæranalyse med praktisk kode som du kjører direkte i nettleseren, mens en AI-veileder som er tilgjengelig døgnet rundt, svarer på spørsmålene dine mens du jobber deg gjennom leksjonen.

Trenger jeg erfaring for å begynne med Grunnleggende om reverse engineering og binæranalyse?

Ingen tidligere erfaring er nødvendig. Grunnleggende om reverse engineering og binæranalyse på CoddyKit er lagt opp for både nybegynnere og viderekomne, så De kan begynne her eller helt fra start og lære i Deres eget tempo. Dette er leksjon 2 av 4.

Hvor lang tid tar leksjonen «Binærdifferanser og analyse av patcher»?

De fleste CoddyKit-leksjoner tar omtrent 5–10 minutter. Hver leksjon er kort og interaktiv, slik at De gjør jevne fremskritt og kan fortsette akkurat der De slapp – både på nettet og i appen.

Kan jeg skrive og kjøre kode i denne Grunnleggende om reverse engineering og binæranalyse-leksjonen?

Ja. Alle Grunnleggende om reverse engineering og binæranalyse-leksjoner har en innebygd kodeeditor, slik at De kan skrive og kjøre ekte kode direkte i nettleseren og få umiddelbar tilbakemelding fra AI – uten lokal konfigurering.

Alle leksjonene i dette kurset

AI/ML i reverse engineering
Binærdifferanser og analyse av patcher
Juridiske og etiske hensyn
Teknikker mot reverse engineering og forvirring

← Tilbake til Grunnleggende om reverse engineering og binæranalyse