火绒安全软件

标题: Linux 下的逆向分析-初探 [打印本页]
作者: 梦幻的彼岸    时间: 2022-6-20 14:18
标题: Linux 下的逆向分析-初探
本帖最后由 梦幻的彼岸 于 2022-6-23 17:41 编辑

环境信息
系统信息：统信UOS 家庭版21.3

涉及工具：gcc、edb-debugger、ghidra、radare2

  2. edb-debugger安装
  3. # 安装构建所需依赖  //设置开发者模式可开启root权限
  4. apt-get install git
  5. apt-get install pkg-config
  6. apt-get install cmake
  7. apt-get install build-essential
  8. apt-get install libboost-dev
  9. apt-get install libqt5xmlpatterns5-dev
  10. apt-get install qtbase5-dev
  11. apt-get install qt5-default
  12. apt-get install libgraphviz-dev
  13. apt-get install libqt5svg5-dev
  14. apt-get install libcapstone-dev
  15.   
  16. # 构建与运行 //只打算在构建目录中运行edb-debugger
  17. git clone --recursive [url=https://github.com/eteran/edb-debugger.git]https://github.com/eteran/edb-debugger.git[/url]
  18. cd edb-debugger
  19. mkdir build
  20. cd build
  21. cmake ..
  22. make
  23. ./edb
  24. # 所有用户在系统中安装
  25. mkdir build
  26. cd build
  27. cmake -DCMAKE_INSTALL_PREFIX=/usr/local/ ..
  28. make
  29. make install
  30. edb
复制代码

测试代码 test.c

  1. #include <stdio.h>
  2. #include <stdlib.h>
  3. #include <sys/ptrace.h>


  6. void main() {
  7.     puts("test");
  8. }
复制代码


1.jpg
基本信息
可使用r2  -A ./helllo 打开要分析的文件   命令解析：运行“aaa”命令以分析所有引用的代码
2.jpg

it   //命令解析：计算文件hash信息

3.jpg

iI   //命令解析：显示文件二进制信息
4.jpg

ii //命令解析：显示文件导入信息

5.jpg

iz    //命令解析：列出数据段中的字符串
6.jpg

iE   //命令解析：导出（全局符号）

7.jpg

afl   //命令解析：列出函数

8.jpg

s main //跳转到main函数地址    命令解析：要在我们正在检查的文件中移动，我们需要使用s命令更改偏移量。

px 16进制查看

pdf 反汇编
9.jpg

或使用pdf@main命令进行查看  //@指定函数名称
10.jpg

或使用agf查看基本的函数视图

11.jpg

查看关键地址的16进制信息
12.jpg

备注：若命令进不住可输入v命令进入图形化操作界面

调试
载入后运行
    edb 打开生成的hello文件，检测到函数入口点自动暂停

    看到关键代码地址---0x402004
13.jpg

跳转到对应地址
    反汇编区右键选择Goto Expression...  输入对应地址
14.jpg

右键编辑
15.jpg

看到此区域对应te

16.jpg

下一行对应st
17.jpg

二进制编辑字符串将te修改为fe
18.jpg

返回查看对应的数据已改变  //右键Goto Rip 可返回
19.jpg

输出验证
20.jpg

反编译查看
使用Ghidra加载hello文件，在Symbol Tree模块的Functios文件夹内找到main函数，点击进入

发现反编译后的伪代码与实际代码对比关键位置无错误，可读性也很不错
21.jpg


修改文件
备注：建议在修改前对涉及到的原文件进行备份

写入模式进行分析
22.jpg

关键代码数据对应地址信息：0x402004
23.jpg

查看地址引用情况
24.jpg

原始
25.jpg

修改
26.jpg

测试
27.jpg

初探部分内容到此告一段落，有缘再会
作者: rookie123    时间: 2022-10-21 16:51
就是不太方便



欢迎光临 火绒安全软件 (https://bbs.huorong.cn/) Powered by Discuz! X3.4