Reverse Engineering (RE)

Transkript

1 Reverse Engineering (RE) Team 3 Jan Gossens & Martin Morawetz Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

2 1 Einführung 2 Vorgehensweisen von Reverse Engineering Statische Analyse Dynamische Analyse Decompiler 3 Live Demo 4 Abwehr von Reverse Engineering 5 Tools Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

3 Einführung Was ist Reverse Engineering? Rekonstrukion des Zustandes vor dem Kompilieren Binary zu Assembler oder Source Code Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

4 Einführung Anwendung von RE Analyse von Malware Verlust von Source Code Fehlersuche Neugier Sicherheitsanalyse Entschlüsselung von Ransomware Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

5 Vorgehensweisen von Reverse Engineering Begriffserklärungen Disassembler vs. Decompiler Disassembler, Maschinen- zu Assembler-Code Decompiler, Maschinen- zu Source oder Pseudo-Code Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

6 Vorgehensweisen von Reverse Engineering Begriffserklärungen Statisch vs. Dynamisch Statische Analyse, Analyse ohne Ausführung sehr allgemein Register- / Speicherwerte zur Laufzeit nicht vorhanden Tools: objdump, strings Dynamische Analyse, Analyse mit / während Ausführung Analyse für speziellen Programmablauf sehr detailliert, manipulierbar oft nur auf VM möglich Tools: Debugger, ltrace, strace Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

7 Vorgehensweisen von Reverse Engineering Statische Analyse Strings Statische Methode zum Finden von ASCII Strings Durchsucht Binärdateien Nützlich um schnellen Überblick zu erhalten Zeigt nur Strings mit mindestens 4 Zeichen an Manchmal findet man so auch das gesuchte Passwort Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

8 Vorgehensweisen von Reverse Engineering Statische Analyse Objdump Statischer Disassembler objdump -d: diassembled eine Binärdatei objdump -f: Zeigt Header an example1 : f i l e format e l f 6 4 x86 64 a r c h i t e c t u r e : i : x86 64, f l a g s 0 x : HAS SYMS, DYNAMIC, D PAGED s t a r t a d d r e s s 0 x Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

9 Vorgehensweisen von Reverse Engineering Dynamische Analyse ltrace & strace ltrace Zeigt Library Calls zur Laufzeit an strace Zeigt System Calls zur Laufzeit an Gut um Schadsoftware zu erkennen Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

10 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb gdb - GNU Debugger Dynamische Programmanalyse und -veränderung Nützlich um Programmfehler zu finden und Schwachstellen zu finden Sehr hardwarenah Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

11 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - PEDA PEDA - Python Exploit Development Assistance for GDB Nützliche, schlanke Erweiterung für GDB Zeigt zu jeder Zeit Register und Stack an Zusätzliche Features und Befehle zb ropgadget/ropsearch für ROP Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

12 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - PEDA Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

13 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - Wichtige Befehle Teil 1 Binary starten: run/r nimmt Argumente Breakpoints setzen: break/b main/*0x fe entweder Funktionsname oder Pointer auf Speicheradresse Breakpoints auflisten: info breakpoints/b Breakpoints entfernen: del <n> n ist Index des Breakpoints Step into: si Step over: ni Ausführen bis zum Ende der Funktion: finish Ausführen bis zum nächsten Breakpoint: continue/c Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

14 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - Wichtige Befehle Teil 2 Register anzeigen lassen: info registers mit PEDA nicht nötig Funktionen anzeigen lassen: info functions Disassemble: disassemble/disas main/*0x fe Vergangene Funktionsaufrufe: backtrace Strings anzeigen lassen: print (char*)0x fe Speicher verändern: set *0x7fffffffe3e4 = <newvalue> Pointer auf Speicheradresse 1 Byte wird per default geändert n Byte per Array: set {char[n+1]} 0x... = StringOfLengthN Section Adressen anzeigen: info file Zeig auch Start Adresse(Entry Point) an Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

15 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - Wichtige Befehle Teil 3.1 E x amine memory: x/<anzahl><art><ausgabe> x/32wx $esp: 32 words in Hexadezimal an Speicher auf den $esp zeigt x/32wx *0x7fffffffe3e4: 32 words in Hexadezimal an expliz. Speicher-Adresse Mögliche Ausgaben: x - Integer in Hexadezimal d - signed Integer u - unsigned Integer o - Integer in Oktal t - Integer in Binär a - Speicheradresse f - Floating Point c - Character Constant i - Assembler/Maschineninstruktionen s - Strings Default ist x Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

16 Vorgehensweisen von Reverse Engineering Dynamische Analyse gdb - Wichtige Befehle Teil 3.2 Mögliche Arten: b - Bytes h - halfwords (2 Byte) w - words (4 Byte) g - giant words (8 Byte) Bei Strings als Ausgabe ist die Art automatisch b Bei Maschineninstruktionen der Ausgabe i wird die Art ignoriert Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

17 Vorgehensweisen von Reverse Engineering Decompiler IDA IDA - Interactive Disassembler Entwickelt von Hex-Rays Mächtigstes Tool für Reverse Engineering Kann aus Binärdateien C ähnlichen Pseudo Code rekonstruieren Üblicherweise nur selbe Semantik wie ursprünglicher Code Kompilieren ist verlustbehaftet fehlende Kommentare + Variablennamen Optimierungen Sehr beliebt um Kopierschutz zu umgehen Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

18 Vorgehensweisen von Reverse Engineering Decompiler IDA - Assembler View Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

19 Vorgehensweisen von Reverse Engineering Decompiler IDA - Hex View Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

20 Vorgehensweisen von Reverse Engineering Decompiler IDA - Proximity View Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

21 Vorgehensweisen von Reverse Engineering Decompiler IDA - Graph View Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

22 Vorgehensweisen von Reverse Engineering Decompiler IDA - Pseudo Code Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

23 Vorgehensweisen von Reverse Engineering Decompiler IDA - Possible Views Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

24 Live Demo Demo Programm #i n c l u d e <s t d i o. h> #i n c l u d e <s t d l i b. h> #i n c l u d e <s t r i n g. h> i n t main ( i n t argc, char a r g v [ ] ) { char input ; i n p u t = ( char ) c a l l o c ( 1, ) ; p r i n t f ( Welcome to our l i t t l e password g u e s s i n g game. Give i t a t r y :\ n ) ; s c a n f ( %s, i n p u t ) ; } i f ( c h e c k p a s s w o r d ( i n p u t )){ p r i n t f ( You won! : ) \ n ) ; } e l s e { p r i n t f ( You l o s t : ( \ n ) ; } r e t u r n 0 ; Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

25 Live Demo gdb - Beispiel Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

26 Live Demo IDA - Beispiel Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

31 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

32 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Stripped Binaries Binärdateien ohne Debug Symbole Unter anderem Funktionsnamen gehen verloren Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

33 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Stripped Binaries Binärdateien ohne Debug Symbole Unter anderem Funktionsnamen gehen verloren Code Obfuscation Code möglichst kompliziert und unverständlich gestalten Aladdin HASP HL Pro Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

34 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Stripped Binaries Binärdateien ohne Debug Symbole Unter anderem Funktionsnamen gehen verloren Code Obfuscation Code möglichst kompliziert und unverständlich gestalten Aladdin HASP HL Pro USB Dongle um Software zu verifizieren Envelope Protection Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

35 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Stripped Binaries Binärdateien ohne Debug Symbole Unter anderem Funktionsnamen gehen verloren Code Obfuscation Code möglichst kompliziert und unverständlich gestalten Aladdin HASP HL Pro USB Dongle um Software zu verifizieren Envelope Protection Verschlüsselter Code Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

36 Abwehr von Reverse Engineering Methoden gegen Reverse Engineering Stripped Binaries Binärdateien ohne Debug Symbole Unter anderem Funktionsnamen gehen verloren Code Obfuscation Code möglichst kompliziert und unverständlich gestalten Aladdin HASP HL Pro USB Dongle um Software zu verifizieren Envelope Protection Verschlüsselter Code Cloud-Based-Software Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

37 Abwehr von Reverse Engineering Tools gegen Reverse Engineering I Themida Software Protector umschließt die eigentliche, verschlüsselte Anwendung Bevor der Protector die Anwendung entschlüsselt stellt er sicher, dass keinerlei Cracking Software aktiv ist Themida behauptet alle gängigen Tools erfolgreich erkennen zu können Kann Probleme mit Antiviren Software hervorrufen Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

38 Abwehr von Reverse Engineering Tools gegen Reverse Engineering II Code Virtualizer Programm beinhaltet eine virtuelle CPU auf der es ausgeführt wird Eigentlicher Code besteht aus Maschinen-Code der nur von der virtuellen CPU verstanden wird Jede virtuelle CPU kennt unterschiedliche Befehle, das selbe Programm sieht bei jedem Kunden anders aus Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

39 Tools Tool Sammlung Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

40 Tools Tool Sammlung edb GUI für gdb Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

41 Tools Tool Sammlung edb GUI für gdb Radare2 Commandline Reverse Enigeering Framework Sowohl statische als auch dynamische Analyse Komplexe Bedienung Schöne Tree-View und gute Gesamtübersicht Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

42 Tools Tool Sammlung edb GUI für gdb Radare2 Commandline Reverse Enigeering Framework Sowohl statische als auch dynamische Analyse Komplexe Bedienung Schöne Tree-View und gute Gesamtübersicht Hopper IDA s kleiner Bruder Kann Pseudo Code aus Binärdateien erstellen Bei weitem nicht so gut wie IDA 30 Minuten gratis Demo verfügbar Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35

43 Tools Vielen Dank für eure Aufmerksamkeit! Jan Gossens, Martin Morawetz Reverse Engineering (RE) / 35