RSA konverentsil teatas USA Riiklik Julgeolekuagentuur (NSA) juurdepääsu avamisest pöördprojekteerimise tööriistakomplektile „Ghidra” , mis sisaldab interaktiivset lahtivõtjat, mis toetab C-koodi dekompileerimist ja pakub võimsaid tööriistu käivitatavate failide analüüsimiseks.
Projekti on arendatud peaaegu 20 aastat ja USA luureagentuurid kasutavad seda aktiivselt markerite tuvastamiseks, pahatahtliku koodi analüüsimiseks, erinevate käivitatavate failide uurimiseks ja kompileeritud koodi analüüsimiseks.
Võimaluste poolest on toode võrreldav IDA Pro paketi laiendatud versiooniga , kuid see on loodud ainult koodianalüüsiks ega sisalda silurit.
Teisest küljest toetab Ghidra dekompileerimist pseudokoodiks, mis sarnaneb C-ga (IDA-s on see funktsioon saadaval kolmandate osapoolte pistikprogrammide kaudu), samuti võimsamaid tööriistu käivitatavate failide ühiseks analüüsimiseks.
põhijooned
Ghidra pöördtehnoloogia tööriistakomplektist leiate järgmise:
- Erinevate protsessori juhiste ja käivitatavate failivormingute tugi.
- Linuxi, Windowsi ja macOS-i käivitatavate failide tugianalüüs.
- See sisaldab lahtivõtjat, monteerijat, dekompilaatorit, programmi täitmise graafika generaatorit, skriptide käivitamise moodulit ja suurt komplekti abivahendeid.
- Võime esineda interaktiivsetes ja automaatsetes režiimides.
- Pistikprogrammide tugi uute komponentide rakendamisel.
- Toetus toimingute automatiseerimiseks ja olemasoleva funktsionaalsuse laiendamiseks Java ja Pythoni keeltes olevate skriptide ühendamise kaudu.
- Rahaliste vahendite olemasolu uurimisrühmade meeskonnatööks ja töö koordineerimiseks väga suurte projektide pöördprojekteerimisel.
Huvitaval kombel leidis pakett paar tundi pärast Ghidra ilmumist haavatavuse silumisrežiimi (vaikimisi keelatud) implementatsioonis, mis avab võrgupordi 18001 rakenduste kaugsilumiseks JDWP (Java Debug Wire Protocol) abil.
Vaikimisi loodi võrguühendused kõigi saadaolevate võrguliideste, mitte 127.0.0.1 kaudu , mis võimaldab teil Ghidraga ühenduse luua teistest süsteemidest ja käivitada mis tahes koodi rakenduse kontekstis.
Näiteks saate ühendada siluriga ja katkestada täitmise, määrates katkestuspunkti ja asendades oma koodi edasiseks täitmiseks käsuga "print new", näiteks:
printige uus java.lang.Runtime (). exec ('/ bin / mkdir / tmp / dir') ».
Lisaks on võimalik jälgida avatud interaktiivse lahtivõtja REDasm 2.0 peaaegu täielikult muudetud versiooni avaldamist.
Programmil on laiendatav arhitektuur, mis võimaldab ühendada draiverid täiendavate juhiste ja failivormingute komplektide jaoks moodulite kujul. Projekti kood kirjutatakse C ++ keeles (Qt-põhine liides) ja levitatakse GPLv3 litsentsi all. Töö on toetatud Windowsis ja Linuxis.
Põhipakett ühildub PE, ELF, DEX (Android Dalvik), Sony Playstationi, Xboxi, GameBoy ja Nintendo64 püsivara vormingutega . Toetatud käsustikud hõlmavad x86, x86_64, MIPS, ARMv7, Dalvik ja CHIP-8.
Funktsioonide hulgas võib mainida tuge interaktiivsele IDA-stiilis visualiseerimisele, mitmekeermelisele rakenduste analüüsile , visuaalse edenemisdiagrammi koostamisele, digitaalallkirjade töötlemise mootorile (mis töötab SDB-failidega) ja projektijuhtimise tööriistadele.
Kuidas Ghidrat installida?
Need, kes on huvitatud selle „Ghidra” pöördprojekteerimise tööriistakomplekti installimisest , peaksid teadma, et neil peab olema vähemalt järgmine:
- 4 GB RAM
- 1 GB komplekti salvestamiseks
- Laske installida Java 11 Runtime and Development Kit (JDK).
Ghidra allalaadimiseks peate minema selle ametlikule veebisaidile, kust saate selle alla laadida. Link on siin.
Kui see on tehtud, peate vaid allalaaditud paketi lahti pakkima ja kataloogist leiate faili „ghidraRun”, mis käivitab komplekti.
Kui soovite selle kohta rohkem teada saada, võite külastada järgmist linki.