专栏首页渗透云笔记网络安全自学篇(五)| IDA Pro反汇编工具初识及逆向工程解密实战

网络安全自学篇(五)| IDA Pro反汇编工具初识及逆向工程解密实战

作者;杨秀璋

介绍;自幼受贵州大山的熏陶,养成了诚实质朴的性格。经过寒窗苦读,考入BIT,为完成自己的教师梦,放弃IT、航天等工作,成为贵财一名大学教师,并想把自己所学所感真心传授给自己的学生,帮助更多陌生人。

一.IDA Pro工具简介及初识

1.IDA Pro简介

IDA Pro(Interactive Disassembler Professional)简称“IDA”,是Hex-Rays公司出品的一款交互式反汇编工具,是目前最棒的一个静态反编译软件,为众多0day世界的成员和ShellCode安全分析人士不可缺少的利器。IDA Pro具有强大的功能,但操作较为复杂,需要储备很多知识,同时,它具有交互式、可编程、可扩展、多处理器等特点,可以通过Windows或Linux、MacOS平台来分析程序, 被公认为最好的逆向工程利器之一。

IDA Pro已经成为分析敌意代码的标准并让其自身迅速成为攻击研究领域的重要工具。它支持数十种CPU指令集其中包括Intel x86、x64、MIPS、PowerPC、ARM、Z80、68000、c8051等等。

2.IDA Pro新建工程

IDA Pro是点击下一步傻瓜式安装,安装成功会后会显示两个运行程序“IDA Pro(32bit)”和“IDA Pro(64bit)”,分别对应32位和64位程序的分析。IDA支持常见的PE格式,DOS、UNIX、Mac、Java、.NET等平台的文件格式。

下面讲解首次打开IDA Pro的流程。

第一步:打开IDA Pro32软件

双击exe文件弹出如下图所示的“Support message”界面,点击OK按钮。

第二步:新建一个文件

IDA包括三种加载文件的方式,其中“New”是新建打开一个标准文件的对话框,“GO”是运行打开一个空白工作去,用户将要分析的文件拖入分析,“Previous”是选择最近一次使用过的文件。

第三步:选择一个exe文件载入,它将是我们要进行分析的程序

作者通过C语言写了一段代码,并在本地生成一个“test01.exe”文件,它就是接下来分析的可执行文件。

#include<stdio.h> 
int main() 
{   
        printf("Hello World!!!\n");   
        return 0; 
} 

选择要导入的文件。

第四步:装载PE文件

在“Load a new file”窗口中选择装载PE文件,包括text(代码块)、data(数据块)、rsrc(资源块)、idata(输入表)和edata(输出表)等,也可以载入二进制文件。

IDA反汇编包括两个阶段,首先将程序的代码和数据分开,分别标记函数并分析参数调用、跳转、指令关系等;接着如果IDA能识别文件的编译类型,就装载对应的编译器特征文件,给各函数赋名。同时,IDA会创建一个数据库,其组件分别保存在“.id0”、“.id1”、“.nam”和“.til”的文件里。

接着弹出确认窗口,可以选择“Don’t show this message again”选项。

第五步:在“Check for Hex-Rays product updates”中点击“OK”

在接下来弹出的Hex-Rays信息框再点击OK后,会要求设置更新选项,这里直接点击OK,默认即可。

第六步:显示运行结果

此时,运行结果如下图所示,接着可以开始我们的逆向分析。

IDA View显示如下图所示:

Hex View十六进制显示如下图所示:

下图可以看到代码中的“hello world!!!\n”。

第七步:查看源代码

按下F5能够查看对应的源代码。

第八步:关闭IDA Pro并保存数据库文件

保存IDB数据库文件至本地,它记录了用IDA Pro对该程序分析中的工作状态,包括反汇编分析、区段扫描、用户自定义结构、用户自定义名称、注释等信息。点击右上角的关闭按钮,弹出IDA Pro保存数据库窗口(Save Database),使用默认选项,直接点击OK即可以保存生成数据库(.idb)文件。

下次载入时,可以直接加载数据库文件,获取之前分析的状态。

二.IDA Pro工具基本用法

IDA Pro工具打开的主界面如下图所示:

IDA View窗口

该窗口显示如下图所示:

它是通过点击“View”中“Open subviews”->“Disaassembly”调出来的。

IDA View包括两种浏览模式,一种是Text View,一种是Graph View,右键能够相互跳转。

如下图所示,变换成另一种模式。

IDA View主要包括三个区域:

  • 地址区: PE文件加载到内存后的虚地址为准,镜像地址+偏移地址,如0x00401000
  • OpCode操作区: 该部分默认因此,需要Options->General->设置Number of opcode bytes为8显示出来,它是16进制数
  • 反编译代码区: IDA主功能区域,能高亮显示,双击函数或变量名能跳转对应的地址。

Hex View窗口

显示16进制,默认为只读状态,可以用快捷键F2对数据区域(绿色字符区域)在只读和编辑两种状态切换。

Strings窗口

IDA的View有几个按钮对定位代码很重要,如下图所示:

  • Open exports window 打开导出窗口
  • Open import window 打开导入窗口
  • Open names window 函数和参数的命名列表
  • Open functions window 程序调用的所有函数窗口
  • Open strings window 打开字符串显示窗口

这里作者点击Strings显示程序中所有字符串,该窗口有助于你通过程序的运行输出逆向找出对应的代码片断,如下图的字符串及对应的Address。

双击String跳转IAD View页面,如下图所示的地址,单击会高亮。

其他窗口:

  • 导出/入窗口:导出窗口列出文件的入口点,导入窗口列出由被分析的二进制文件导入的所有函数 函数窗口:
  • 函数名称,区域,起始位置,长度,描述函数的标记
  • 结构体窗口:分析数据结构,双击数据结构名称展开,查看详细布局
  • 枚举窗口:enums可列举,定义枚举类型
  • 段窗口 segmentation:段的简单列表

文件类型

IDA会创建一个数据库,名为IDB文件,它由四个文件组成。

  • id0:二叉树形式的数据库
  • id1:程序字节标识
  • nam:Named窗口的索引信息
  • til:给定数据库的本地类型定义的相关信息

三.IDA Pro逆向工程实战

1.代码加密

前面第一篇 博客 讲解音乐文件通常采用异或加密,接下来作者通过C语言简单编写了一段加密代码,如下所示:

#include<stdio.h> 
#include<string.h>

int main() 
{   
        int i;   
        int len;   
        char key[20];   
        char res[20];   
        char *num = "eastmount";     //密钥    
        char *right = "123456789";   //正确值

        //请输入正确的密码   
        printf("please input the key:");   
        scanf("%s", &key);

        //判断   
        len = strlen(key);   
        if(len<6 || len>10) {     
                 printf("Error, The length of the key is 6~10\n");   
        }    
        else {     
                 //加密     
                 for(i=0; i<len; i++) {       
                         res[i] = (key[i]^num[i]); //异或加密      
                 }        
                 //printf("%s\n", res);     
                 if(strcmp(res, right)==0) {       
                         printf("You are right, Success.\n");     
                 } else {       
                         printf("Error, please input the right key.\n");     
                 }   
        }  
            
        return 0; 
}

输入长度不在6-10之间反馈错误“Error, The length of the key is 6~10”,输入错误反馈“Error, please input the right key.”,正确的key才显示正确信息“You are right, Success.”。

2.逆向解密

第一步:按照第一部分步骤向IDA Pro中导入文件

显示的调用程序如下图所示。

树形图把条件分支清晰地显示出来了,左下角有IDA视图的缩略图。在上面点击可以快速定位到视图的指定位置,并且各个部分都有详细的代码信息 ,比如定义的两个变量及偏移位置。

第二步:查看字符串显示窗口

IDA Pro工具中菜单栏的View有几个按钮对定位代码很重要,如下图所示:

  • Open exports window 打开导出窗口
  • Open import window 打开导入窗口
  • Open names window 函数和参数的命名列表
  • Open functions window 程序调用的所有函数窗口
  • Open strings window 打开字符串显示窗口

这里作者点击Strings显示程序中所有字符串,该窗口有助于你通过程序的运行输出逆向找出对应的代码片断,如下图的字符串及对应的Address。

双击String跳转到如下图所示的地址,单击会高亮。

第三步:查看源代码

在如下图所示界面中按下F5键可以显示源代码。

显示的源代码如下所示:

int __cdecl main(int argc, const char **argv, const char **envp) 
{   
  char Str1[32]; // [esp+38h] [ebp-50h]   
  char Str[40]; // [esp+58h] [ebp-30h]   
  int v6; // [esp+80h] [ebp-8h]   
  int i; // [esp+84h] [ebp-4h]

  __main();   
  printf("please input the key:");   
  scanf("%s", Str);   
  v6 = strlen(Str);   
  if ( v6 > 5 && v6 <= 10 )   
  {     
     for ( i = 0; i < v6; ++i )       
       Str1[i] = gcc2_compiled_[i] ^ Str[i];     
     if ( !strcmp(Str1, "123456789") )       
       printf("You are right, Success.\n");     
     else       
       printf("Error, please input the right key.\n");   
 }    
 else   
 {     
     printf("Error, The length of the key is 6~10\n");   
 }   
 return 0; 
}

注意,该部分代码与之前写的C语言代码略有不同,比如之前判断长度 if(len<6 || len>10) 提示错误,而这里是 if ( v6 > 5 && v6 <= 10 ) 正确执行,else显示错误。

这段代码的基本逻辑是输入字符串Str,然后循环与gcc2_compiled_变量异或加密,输出为Str1变量,当加密后的Str1变量值为“123456789”则解密成功,否则失败。那么,gcc2_compiled_变量的值是多少呢?

第四步:定位核心代码

接着选中gcc2_compiled_变量,当它变高亮双击之后会跳转到对应的页面。

原来如此,它的密钥是“eastmount”,加密结果是“123456789”。

第五步:逆向解密

最后撰写解密代码,实现逆向解密,“eastmount” 异或输入代码Str,并且值等于123456789,则可以成功显示。

#include<stdio.h> 
#include<string.h>

int main() 
{   
        int i;   
        int len;   
        char res[9];   
        char *num = "eastmount";     //密钥    
        char *right = "123456789";   //正确值


        //判断 TS@@XYBVM   
        len = strlen(num);   
        for(i=0; i<len; i++) {     
                res[i] = (right[i]^num[i]); //异或加密   
        }   
        res[i] = 0;   
        printf("The right key is: %s\n", res);   
        return 0; 
}

解密结果如下图所示:

注意,IDA Pro本地 创建的文件如下图所示。

四.总结

写到这里,这篇基础性文章就叙述完毕,网络安全要学习的知识真的很多,涉及面很广,包括汇编、网络、操作系统、加密解密、C/C++、Python等。希望自己能慢慢进步,科研与实践并重,也希望读者喜欢这系列总结笔记。不喜勿喷,与你同行~

原文链接:

https://blog.csdn.net/Eastmount/article/details/98789742

本文分享自微信公众号 - 渗透云笔记(shentouyun),作者:杨秀璋

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-03-04

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 文件包含漏洞与文件包含Bypass漏洞基础

    服务器通过PHP的特性(函数)去包含任意文件时,由于要包含的这个文件来源过滤不严,从而可以去包含一个恶意文件,而我们可以构造这个恶意文件来达到攻击的目的。

    天钧
  • php-fpm在nginx特定环境下的任意代码执行漏洞(CVE-2019-11043)

    在长亭科技举办的 Real World CTF 中,国外安全研究员 Andrew Danau 在解决一道 CTF 题目时发现,向目标服务器 URL 发送%0a符...

    天钧
  • 汇编干货第三章

    前面说道,如果要使用安全的内存空间,0:200~0:2FF是相对安全得内存空间,可是这段空间只有256字节,如果需要的空间大于256字节该怎么办呢?

    天钧
  • 使用IDA Pro进行静态分析

    IDA Pro是目前功能最强大的静态反汇编分析工具,具备可交互、可编程、可扩展、多处理器支持等特点,是软件逆向分析必备的工具之一。

    用户1631416
  • 使用Supervisor管理Docker容器多个进程

    在上一篇文章 <<为什么需要自定义一个基础镜像?>> 介绍如何实现一个php基础镜像,我们在PHP官方镜像之上,添加一些项目必用的php扩展模块,并且安装了 n...

    用户1560186
  • 详细nginx+php配置,mysql安装,搭建博客wordpress

    以公网上服务器写,系统ubuntu15.10; 其他系统有稍微差异; ---- 1、首先安装nginx sudo apt-get install nginx ...

    前朝楚水
  • 如何实施有效的云计算成本管理策略

    如今,企业的工作负载在云中的运行成本通常比在内部部署环境中更具成本效益。即使在使用云计算节省成本的情况下,几乎可以肯定的是,企业可以优化云计算支出以进一步降低成...

    静一
  • AppleWatch开发入门二——界面布局 原

            在iphone开发中,最基本的布局方式是通过frame,将控件的位置和大小固定在屏幕上,后来,由于手机屏幕的尺寸有了略微变化,有了autores...

    珲少
  • Using a GPG Key and Ssh Auth

    在我的一台服务器被数不清的脚本小子暴力尝试登陆N次后,我下定决心将所有的开发环境换成统一的ssh key;并禁止用户登陆;

    happy123.me
  • 我的电脑系统换成了linux之WEB 环境搭建

    这个时候默认安装是php7.1的,不得不说,ubuntu对于php的更新还是比较频繁的,因为我之前用的centos7.4使用的php版本好像还是5.4的,无语了...

    魔王卷子

扫码关注云+社区

领取腾讯云代金券