Under RSA-konferencen annoncerede det amerikanske nationale sikkerhedsagentur (NSA) åbningen af ​​adgangen til reverse engineering-værktøjssættet "Ghidra" , som inkluderer en interaktiv disassembler med understøttelse af dekompilering af C-kode og leverer effektive værktøjer til analyse af eksekverbare filer.
Projektet har været under udvikling i næsten 20 år og bruges aktivt af amerikanske efterretningstjenester til at identificere markører, analysere ondsindet kode, studere forskellige eksekverbare filer og analysere kompileret kode.
Med hensyn til funktioner kan produktet sammenlignes med den udvidede version af den proprietære IDA Pro-pakke , men det er udelukkende designet til kodeanalyse og inkluderer ikke en debugger.
På den anden side har Ghidra understøttelse af dekompilering til pseudokode, der ligner C (i IDA er denne funktion tilgængelig via tredjeparts plugins), samt mere kraftfulde værktøjer til fælles analyse af eksekverbare filer.
Vigtigste funktioner
Inden for Ghidra reverse engineering toolkit kan vi finde følgende:
- Understøttelse af forskellige sæt processorinstruktioner og eksekverbare filformater.
- Analyse af eksekverbar filsupport til Linux, Windows og macOS.
- Den inkluderer en demonteringsenhed, en samler, en dekompilator, en programgenerator til grafisk programudførelse, et modul til eksekvering af scripts og et stort sæt hjælpeværktøjer.
- Evne til at udføre i interaktive og automatiske tilstande.
- Plug-in support med implementering af nye komponenter.
- Støtte til automatisering af handlinger og udvidelse af eksisterende funktionalitet gennem tilslutning af scripts på Java og Python-sprog.
- Tilgængelighed af midler til teamwork af forskningshold og koordinering af arbejde under reverse engineering af meget store projekter.
Interessant nok fandt pakken et par timer efter Ghidras udgivelse en sårbarhed i implementeringen af ​​debug-tilstand (deaktiveret som standard), som åbner netværksport 18001 til fjernfejlfinding af applikationer ved hjælp af JDWP (Java Debug Wire Protocol).
Som standard blev netværksforbindelser oprettet på tværs af alle tilgængelige netværksgrænseflader i stedet for 127.0.0.1 , hvilket giver dig mulighed for at oprette forbindelse til Ghidra fra andre systemer og køre enhver kode i applikationskonteksten.
For eksempel kan du oprette forbindelse til en debugger og afbryde udførelse ved at indstille et breakpoint og erstatte din kode til yderligere udførelse ved hjælp af kommandoen "udskriv ny", for eksempel »
udskriv ny java.lang.Runtime (). exec ('/ bin / mkdir / tmp / dir') ».
Derudover er det muligt at observere udgivelsen af ​​en næsten fuldstændig revideret udgave af den åbne interaktive disassembler REDasm 2.0.
Programmet har en udvidelig arkitektur, der giver dig mulighed for at forbinde drivere til yderligere sæt instruktioner og filformater i form af moduler. Projektkoden er skrevet i C ++ (Qt-baseret interface) og distribueret under GPLv3-licensen. Arbejde understøttet på Windows og Linux.
Basispakken er kompatibel med firmwareformaterne PE, ELF, DEX (Android Dalvik), Sony Playstation, XBox, GameBoy og Nintendo64 . Understøttede instruktionssæt inkluderer x86, x86_64, MIPS, ARMv7, Dalvik og CHIP-8.
Blandt funktionerne kan vi nævne understøttelse af interaktiv visualisering i IDA-stil, flertrådet applikationsanalyse , konstruktion af et visuelt statusdiagram, den digitale signaturbehandlingsmotor (som fungerer med SDB-filer) og værktøjer til projektstyring.
Hvordan installeres Ghidra?
For dem, der er interesserede i at installere dette "Ghidra" reverse engineering-værktøjssæt , skal de vide, at de skal have mindst følgende:
- 4 GB RAM
- 1 GB til kitlagring
- FÃ¥ Java 11 Runtime and Development Kit (JDK) installeret.
For at downloade Ghidra skal du gå til dens officielle hjemmeside, hvor du kan downloade det. Linket er her.
Når dette er gjort, skal du blot udpakke den downloadede pakke, og inde i mappen finder du filen "ghidraRun", som vil køre sættet.
Hvis du vil vide mere om det, kan du besøge følgende link.