Static analysis Kali Linux PE file

Состав фреймворка radare2
rasm2 - дизассемблер
rabin2
rahash2
radiff2
rafind2
ragg2
rax2
radeco - декомпилятор

Рекомендации по установке фреймворка radare2
Ссылка: https://github.com/radare/radare2.git

Первое, с чего стоит начать, это собрать как можно больше различной информации о
файле prog-7.2. С этим нам поможет утилита rabin2.
$ rabin2 -I prog-7.2
Видим, что это исполняемый файл, который имеет ELF-заголовок. Файл является
32-битным и содержит в себе отладочные символы

Используя флаг -e, мы можем получить адрес точки входа.
$ rabin2 -e prog-7.2
...
vaddr=0x08048370

Пришло время дизассемблировать программу prog-7.2.
$ r2 prog-7.2
Мы видим адрес 0x08048370, сейчас мы на нем находимся, это адрес точки входа,
который мы видели ранее

radare не анализирует исполняемый файл автоматически при запуске, как это делает
дизассемблер IDA. Для проведения автоматического анализа необходимо переоткрыть файл
с параметром -А или выполнить команду "aaa".
[0x08048370] aaa

После завершения анализа radare2 ассоциирует найденные имена со смещениями в
файле. Такие имена называются флагами. Флаги сгруппированы в пространства флагов.
Вывести пространства флагов можно следующей командой
[0x08048370] fs

Мы можем посмотреть содержимое каждого пространство флагов следующей командой.
[0x08048370] fs imports; f
Мы видим перечень функций, который импортируется из libc в исполняемый файл.
Давайте посмотрим на строки.
[0x08048370] fs strings; f

Одну строку мы уже видели, она нас уведомляла о некорректном ключе, но мы видим,
что в файле есть еще одна строка, которая сообщает о корректном ключе

Как вы возможно заметили, нам вывели не совсем строки, а созданные переменные,
которые ссылаются на строки - str.ERROR._License_key_is_incorrect.. Эти переменные можно
будет использовать, если мы пожелаем обратиться к этой строке

Для того, чтобы увидеть строки в явном виде, есть специальные команды iz и izz.
Первая выводит строки только из секции данных, вторая из всех секций в файле

На данном этапе нам будут интересны строки, которые расположены в секции данных

В radare есть замечательная команда, которая может вывести функцию, в которая
используется нужная нам строка. Для того, чтобы указать, какая строка нас интересует, мы
должны указать переменную, которая была создана для этой строки

[0x08048370] axt str.ERROR._License_key_is_incorrect.

Мы видим, что эта строка используется в функции main. Также можно вывести такую
информацию по всем строкам

[0x08048370] axt @@ str.*

В данном примере выражение @@ играет роль итератора, а переменные мы
указывает как str.* , т.е. все множество переменных str. Видим, что другие строки тоже
находятся в функции main.

Все это время мы находились на адресе точки входа программы. Здесь важно
понимать, что мы сейчас выполняем статический анализ, а не динамический. Программа
сейчас не запущена. Адрес, который мы видим слева, он просто играет роль указателя в
рамках исполняемого файла.

Для того, чтобы перейти по смещению, мы должны воспользоваться командой "s",
которая означает - seek.

Давайте попробуем перейти на функцию main
[0x08048370] s main
[0x080485d3]

Видим, что адрес изменился. Кстати, давайте узнаем, какие еще функции есть в
программе prog-7.2. Для этого нам понадобится команда afl (Analyze Functions List).

[0x080485d3] afl

Здесь мы видим функции, которые были импортированы из динамических библиотек,
функцию main и некоторые другие функции. Для того, чтобы посмотреть содержимое этих
функций, нам нужно выполнить дизассемблирование, но мы это сделаем в следующем
видео.

https://antispambo.com

#antispambo #burpsuite #xss #reverse #cracking #hacking #patching #idapro #ollydbg #softice
#static code analysis
#what is static code analysis
#what is static analysis of code
#static code analysis tools
#studyiq
the hindu analysis
study iq
today's hindu newspaper
today's hindu newspaper analysis
current affairs study iq
the hindu analysis today
iron lung
irong lung game
iron lung duskdev
iron lung new blood
newblood games
hacking iron lung
hacking unity game
iron lung hack
iron lung outside