Identifisere funksjoner og data

De fleste disassemblere, som Ghidra eller IDA Pro, har en egen funksjon som viser alle identifiserte strenger i en binærfil. Dermed slipper du å lete gjennom rå byte-verdier manuelt.

Når du finner en interessant streng, kan du vanligvis bruke en kryssreferanse for å se hvor i koden den brukes. Dette peker deg umiddelbart til relevante funksjoner.

En funksjon (eller subrutine) er en selvstendig kodeblokk som er laget for å utføre en bestemt oppgave. Programmer er bygget opp av mange funksjoner som kaller hverandre.

Ved å identifisere funksjoner kan du dele opp et komplekst program i mindre, håndterbare deler. Det gjør det enklere å forstå programmets overordnede logikk og flyt.

Funksjoner begynner ofte med en bestemt instruksjonssekvens som kalles en prolog. Dette oppsettet klargjør vanligvis stacken for lokale variabler og lagrer den forrige stackrammen.

En vanlig x86-prolog ser slik ut:

push ebp
mov ebp, esp

Denne sekvensen legger den gamle basepekeren på stacken og angir den gjeldende stackpekeren som den nye basepekeren.

Akkurat som funksjoner har startpunkter, har de også avslutningspunkter, markert av en epilog. Epilogen gjenoppretter stacken til tilstanden den var i før funksjonskallet og gir kontrollen tilbake til den kallende funksjonen.

En typisk x86-epilog kan se slik ut:

mov esp, ebp
pop ebp
ret

Dette gjenoppretter stackpekeren, henter den gamle basepekeren fra stacken og returnerer fra funksjonen.

De fleste programmer bruker funksjoner fra systembiblioteker (for eksempel til å skrive ut på skjermen, utføre fil-I/O eller kommunisere over nettverket). Disassemblere er ofte smarte nok til å identifisere disse for deg.

Dette gjør de ved å se på importerte symboler (som Import Address Table i Windows PE-filer eller Procedure Linkage Table i Linux ELF-filer) eller ved å sammenligne med kjente funksjonssignaturer.

I tillegg til kode inneholder binærfiler ulike dataseksjoner. Når du forstår disse, blir det enklere å finne globale variabler, konstanter og annen informasjon som gjelder hele programmet:

• .data: Initialiserte globale og statiske variabler.
• .bss: Uinitialiserte globale og statiske variabler (nullstilles ved kjøring).
• .rdata: Skrivebeskyttede data, for eksempel strenger og konstanter.

Disse seksjonene er vanligvis tydelig merket i disassemblere.

Det er viktig å skille mellom globale og lokale variabler. Globale variabler er tilgjengelige i hele programmet og lagres vanligvis i seksjonene .data eller .bss.

Lokale variabler opprettes derimot på stacken når en funksjon kalles, og er bare tilgjengelige i denne funksjonen. De refereres vanligvis relativt til stackrammepekeren (for eksempel [ebp-0x4]).

De har lært grunnleggende teknikker for statisk analyse!

• Strenger gir umiddelbar innsikt i programmets funksjonalitet.
• Funksjonsprologer og -epiloger bidrar til å definere kodegrenser.
• Ved å gjenkjenne biblioteksfunksjoner går analysen raskere.
• Forståelse av dataseksjoner (.data, .bss, .rdata) gjør det enklere å finne globale variabler og konstanter.

Disse ferdighetene er avgjørende for å kunne navigere i og forstå disassemblerte binærfiler.