Durant la conferència RSA, l'Agència de Seguretat Nacional dels EUA va anunciar l'obertura de l'accés al kit d'eines d'enginyeria inversa “Ghidra” , que inclou un desassemblador interactiu amb suport per descompilar el codi C i proporciona eines poderoses per analitzar executables.
El projecte s'ha desenvolupat durant gairebé 20 anys i és utilitzat activament per les agències d'intel·ligència dels EUA . Per identificar marcadors, analitzar codis maliciosos, estudiar diversos fitxers executables i analitzar codi compilat.
Per les seves capacitats, el producte és comparable a la versió estesa del paquet propietari d'IDA Pro , però està dissenyat exclusivament per a l'anàlisi de codi i no inclou un depurador.
D'altra banda, Ghidra té suport per descompilar en pseudocodi que s'assembla a C (en IDA, aquesta característica està disponible a través de complements de tercers), així com eines més potents per a l'anàlisi conjunta de fitxers executables.
característiques principals
Dins el conjunt d'eines d'enginyeria inversa Ghidra podem trobar el següent:
- Suport per a diversos conjunts d'instruccions de processador i formats d'arxius executables.
- Anàlisi de suport d'arxius executables per a Linux, Windows i macOS.
- Inclou un desensamblador, un ensamblador, XNUMX descompilador, un generador de gràfics d'execució de programes, un mòdul per executar scripts i un gran conjunt d'eines auxiliars.
- Capacitat per a realitzar en maneres interactius i automàtics.
- Suport de plug-in amb la implementació de nous components.
- Suport per automatitzar accions i estendre la funcionalitat existent a través de la connexió d'scripts en llenguatges Java i Python.
- Disponibilitat de fons per al treball en equip dels equips de recerca i la coordinació de la feina durant l'enginyeria inversa de projectes molt grans.
Curiosament, unes hores després de la publicació de Ghidra, el paquet va trobar una vulnerabilitat en la implementació del mode de depuració (deshabilitat per defecte), que obre el port de xarxa 18001 per a la depuració remota de l'aplicació mitjançant el JDWP (Java Debug Wire Protocol).
Per defecte, les connexions de xarxa es van realitzar a totes les interfícies de xarxa disponibles, en lloc de 127.0.0.1 , el que us permet connectar-vos a Ghidra des d'altres sistemes i executar qualsevol codi en el context de l'aplicació.
Per exemple, pot connectar amb un depurador i anul·lar l'execució a través de la configuració d'un punt d'interrupció i substituir el seu codi per a una execució addicional mitjançant la comanda "print new», per exemple, »
print new java.lang.Runtime (). exec ( '/ bin / mkdir / tmp / dir') ».
A més, és possible observar la publicació d'una edició gairebé completament revisada del desassemblador interactiu obert REDasm 2.0.
El programa té una arquitectura extensible que li permet connectar controladors per a conjunts addicionals d'instruccions i formats d'arxiu en forma de mòduls. El codi de el projecte està escrit en C ++ (interfície basada en Qt) i distribuït sota la llicència GPLv3. Treball suportat en Windows i Linux.
El paquet bàsic és compatible amb els formats de microprogramari PE, ELF, DEX (Android Dalvik), Sony Playstation, XBox, GameBoy i Nintendo64. Dels conjunts d'instruccions, s'admeten x86, x86_64, MIPS, ARMv7, Dalvik i XIP-8.
Entre les característiques, podem esmentar el suport per a la visualització interactiva en estil IDA, l'anàlisi d'aplicacions de subprocessos múltiples , la construcció d'un gràfic de progrés visual, el motor de processament de signatura digital (que treballa amb fitxers SDB) i les eines per a la gestió de projectes.
Com instal·lar Ghidra?
Per als qui estiguin interessats a poder instal·lar aquest kit d'eines d'enginyeria inversa “Ghidra” , hauran de saber que han de comptar amb almenys:
- 4 GB de RAM
- 1 GB per a l'emmagatzematge de l'Kit
- Tenir instal·lat Java 11 Runtime i el Kit de desenvolupament (JDK).
Per descarregar Ghidra hem de dirigir-nos al seu lloc web oficial on podrem fer la descarregar. Lenllaç és aquest.
Fet això només hauran de descomprimir el paquet descarregat i dins del directori trobarem el fitxer “ghidraRun” el qual executés el kit.
Si vols conèixer més sobre això pots visitar el següent enllaç.