Während der RSA-Konferenz gab die US-amerikanische National Security Agency die Öffnung des Zugangs zum Reverse-Engineering-Toolkit „Ghidra“ bekannt , das einen interaktiven Disassembler mit Unterstützung für die Dekompilierung von C-Code enthält und leistungsstarke Werkzeuge zur Analyse von ausführbaren Dateien bietet.
Das Projekt wird seit fast 20 Jahren entwickelt und wird aktiv von US-Geheimdiensten genutzt, um Marker zu identifizieren, bösartigen Code zu analysieren, verschiedene ausführbare Dateien zu untersuchen und kompilierten Code zu analysieren.
Hinsichtlich des Funktionsumfangs ist das Produkt mit der erweiterten Version des proprietären IDA Pro-Pakets vergleichbar , es ist jedoch ausschließlich für die Codeanalyse konzipiert und enthält keinen Debugger.
Andererseits bietet Ghidra Unterstützung für die Dekompilierung in Pseudocode, der C ähnelt (in IDA ist diese Funktion über Drittanbieter-Plugins verfügbar), sowie leistungsfähigere Werkzeuge für die gemeinsame Analyse von ausführbaren Dateien.
Schlüsselmerkmale
Im Ghidra Reverse Engineering Toolkit finden Sie Folgendes:
- Unterstützung für verschiedene Sätze von Prozessoranweisungen und ausführbaren Dateiformaten.
- Analyse der Unterstützung ausführbarer Dateien für Linux, Windows und MacOS.
- Es enthält einen Disassembler, einen Assembler, einen Dekompiler, einen Grafikgenerator für die Programmausführung, ein Modul zur Ausführung von Skripten und eine große Anzahl von Hilfstools.
- Fähigkeit, im interaktiven und automatischen Modus zu arbeiten.
- Plug-In-Unterstützung bei der Implementierung neuer Komponenten.
- Unterstützung für die Automatisierung von Aktionen und die Erweiterung vorhandener Funktionen durch die Verbindung von Skripten in Java- und Python-Sprachen.
- Verfügbarkeit von Mitteln für die Teamarbeit von Forschungsteams und die Koordination der Arbeit während des Reverse Engineering sehr großer Projekte.
Interessanterweise entdeckte das Paket wenige Stunden nach der Veröffentlichung von Ghidra eine Schwachstelle in der Implementierung des Debug-Modus (standardmäßig deaktiviert), der den Netzwerkport 18001 für das Remote-Debugging von Anwendungen mithilfe des JDWP (Java Debug Wire Protocol) öffnet.
Standardmäßig wurden Netzwerkverbindungen über alle verfügbaren Netzwerkschnittstellen hergestellt, anstatt über 127.0.0.1 . Dadurch konnten Sie sich von anderen Systemen aus mit Ghidra verbinden und beliebigen Code im Anwendungskontext ausführen.
Sie können beispielsweise eine Verbindung zu einem Debugger herstellen und die Ausführung abbrechen, indem Sie einen Haltepunkt festlegen und Ihren Code für die weitere Ausführung mit dem Befehl "Neu drucken" ersetzen, z. B. »
drucke neue java.lang.Runtime (). exec ('/ bin / mkdir / tmp / dir') ».
Darüber hinaus ist die Veröffentlichung einer nahezu vollständig überarbeiteten Version des Open-Source-Disassemblers REDasm 2.0 zu beobachten.
Das Programm verfügt über eine erweiterbare Architektur, mit der Sie Treiber für zusätzliche Befehlssätze und Dateiformate in Form von Modulen verbinden können. Der Projektcode ist in C ++ (Qt-basierte Schnittstelle) geschrieben und unter der GPLv3-Lizenz verteilt. Arbeit unterstützt unter Windows und Linux.
Das Basispaket ist kompatibel mit den Firmware-Formaten PE, ELF, DEX (Android Dalvik), Sony PlayStation, Xbox, Game Boy und Nintendo 64. Unterstützte Befehlssätze sind x86, x86_64, MIPS, ARMv7, Dalvik und CHIP-8.
Zu den Funktionen zählen die Unterstützung für interaktive Visualisierungen im IDA-Stil, die Analyse von Multithread-Anwendungen , die Erstellung eines visuellen Fortschrittsdiagramms, die Engine zur Verarbeitung digitaler Signaturen (die mit SDB-Dateien arbeitet) und Werkzeuge für das Projektmanagement.
Wie installiere ich Ghidra?
Wer an der Installation dieses Reverse-Engineering-Toolkits „Ghidra“ interessiert ist , sollte wissen, dass er mindestens Folgendes benötigt:
- 4 GB RAM
- 1 GB für Kit-Speicher
- Lassen Sie Java 11 Runtime und das Development Kit (JDK) installieren.
Um Ghidra herunterzuladen, müssen Sie die offizielle Website besuchen. Dort können Sie es herunterladen. Der Link ist hier.
Sobald dies erledigt ist, müssen Sie nur noch das heruntergeladene Paket entpacken. Im Verzeichnis finden Sie die Datei „ghidraRun“, mit der Sie das Kit ausführen können.
Wenn Sie mehr darüber erfahren möchten, können Sie den folgenden Link besuchen.