İzleme ve Kancalama ile Dinamik Analiz
Statik disassembly'nin ötesine geçin: gerçek davranışı anlamak için sistem çağrısı izleme, kitaplık izleme ve işlev kancalama kullanarak bir programı çalışırken gözlemleyin.
İzleme ve Kancalama ile Dinamik Analiz, CoddyKit'te ücretsiz bir Assembly Language & x86 Low-Level Systems Programming dersidir. Bu, 4 dersinin 4. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Assembly Language & x86 Low-Level Systems Programming öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Assembly Language & x86 Low-Level Systems Programming kursu toplamda 4 dersten oluşur.
Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.
Static vs Dynamic Analysis
Static analysis inspects a binary without running it (disassembly, strings). Dynamic analysis watches the program while it executes, revealing behavior that only appears at runtime, such as decrypted strings or network calls.
Why Dynamic Analysis Wins
Packed or obfuscated binaries hide their logic from a disassembler. But to actually do anything, the code must eventually run real instructions and make real syscalls — and that is exactly what dynamic tools capture.
System Call Tracing with strace
On Linux, strace logs every system call a process makes. It instantly shows files opened, network connections, and arguments passed to the kernel.
strace -f ./target # follow child processes
strace -e trace=network ./bin # only network syscalls
strace -p 1234 # attach to running PID 1234Reading strace Output
Each line is a syscall with arguments and return value:
openat(AT_FDCWD, "/etc/passwd", O_RDONLY) = 3
This reveals the program read /etc/passwd and got file descriptor 3 — behavior invisible in static text.
Library Call Tracing with ltrace
ltrace traces calls into shared libraries, like strcmp, malloc, or getenv. This is gold for cracking password checks where the comparison happens in libc.
ltrace ./crackme
# strcmp("hunter2", "letmein") = -1Function Hooking
Hooking intercepts a function call to inspect or change arguments and return values. You redirect the original function pointer to your own code, do your work, then optionally call the original.
LD_PRELOAD Interception
On Linux you can override any libc function by exporting a replacement in a preloaded shared object. The loader resolves your symbol first.
export LD_PRELOAD=./myhook.so
./target # calls now route through your hookA Simple Hook in C
This overrides strcmp to log every comparison, then calls the real one via dlsym(RTLD_NEXT, ...).
#define _GNU_SOURCE
#include <stdio.h>
#include <dlfcn.h>
#include <string.h>
int strcmp(const char *a, const char *b) {
int (*real)(const char*, const char*) = dlsym(RTLD_NEXT, "strcmp");
fprintf(stderr, "strcmp: %s vs %s\n", a, b);
return real(a, b);
}Hardware and Software Breakpoints
Dynamic debuggers use breakpoints to pause execution. A software breakpoint replaces a byte with 0xCC (INT 3). A hardware breakpoint uses the CPU debug registers DR0-DR3 and can also trip on memory reads/writes.
Instrumentation Frameworks
For heavy automation, frameworks like Frida and Intel Pin inject instrumentation at runtime. Frida lets you script hooks in JavaScript while the target runs — ideal for mobile and live analysis.
Anti-Debugging Awareness
Malware fights back. It may call ptrace(PTRACE_TRACEME) to detect a debugger, check timing, or scan for 0xCC bytes. Recognizing these checks is part of dynamic reverse engineering.
Quick Check
Test your dynamic-analysis knowledge.
Recap
You learned to analyze running programs:
- Dynamic analysis reveals runtime behavior static tools miss
- strace traces syscalls; ltrace traces library calls
- Hooking via LD_PRELOAD or Frida intercepts function calls
- Breakpoints (INT 3 / debug registers) and anti-debugging tricks shape the work
Sıkça Sorulan Sorular
“İzleme ve Kancalama ile Dinamik Analiz” dersi ücretsiz mi?
Evet — “İzleme ve Kancalama ile Dinamik Analiz” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Assembly Language & x86 Low-Level Systems Programming kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Assembly Language & x86 Low-Level Systems Programming kursu toplamda 4 dersten oluşur.
“İzleme ve Kancalama ile Dinamik Analiz” dersinde ne öğreneceğim?
Statik disassembly'nin ötesine geçin: gerçek davranışı anlamak için sistem çağrısı izleme, kitaplık izleme ve işlev kancalama kullanarak bir programı çalışırken gözlemleyin. Assembly Language & x86 Low-Level Systems Programming ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.
Assembly Language & x86 Low-Level Systems Programming öğrenmeye başlamak için deneyim gerekli mi?
Önceden deneyim gerekmez. CoddyKit'te Assembly Language & x86 Low-Level Systems Programming, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 4. dersidir.
“İzleme ve Kancalama ile Dinamik Analiz” dersi ne kadar sürer?
Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.
Bu Assembly Language & x86 Low-Level Systems Programming dersinde kod yazıp çalıştırabilir miyim?
Evet. Her Assembly Language & x86 Low-Level Systems Programming dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.
Bu kursun tüm dersleri
- Assembly Hatalarını Ayıklamak için GDB Kullanımı
- Tersine Derleme Araçlarına Giriş
- Temel Tersine Mühendislik Teknikleri
- İzleme ve Kancalama ile Dinamik Analiz