Az RSA konferencián az Egyesült Államok Nemzetbiztonsági Ügynöksége (NSA) bejelentette a „Ghidra” reverz engineering eszközkészlethez való hozzáférés megnyitását , amely tartalmaz egy interaktív disassemblert, amely támogatja a C kód dekompilálását, és hatékony eszközöket biztosít a végrehajtható fájlok elemzéséhez.
A projekt közel 20 éve fejlesztés alatt áll, és az amerikai hírszerző ügynökségek aktívan használják markerek azonosítására, rosszindulatú kódok elemzésére, különféle futtatható fájlok tanulmányozására és a fordított kód elemzésére.
Képességeit tekintve a termék összehasonlítható a saját fejlesztésű IDA Pro csomag kibővített verziójával , de kizárólag kódelemzésre készült, és nem tartalmaz hibakeresőt.
Másrészt a Ghidra támogatja a C-hez hasonló pszeudokóddá dekompilálást (az IDA-ban ez a funkció harmadik féltől származó bővítményeken keresztül érhető el), valamint hatékonyabb eszközöket kínál a futtatható fájlok együttes elemzéséhez.
Főbb jellemzők
A Ghidra reverz mérnöki eszköztárban a következőket találjuk:
- Támogatja a különféle processzor utasításokat és futtatható fájlformátumokat.
- Futtatható fájl-támogatási elemzés Linux, Windows és macOS rendszerekhez.
- Tartalmaz egy szétszerelőt, egy összeszerelőt, egy dekompilert, egy programfuttató grafikus generátort, egy modult a szkriptek végrehajtására és egy sor kiegészítő eszközt.
- Képesség interaktív és automatikus módban teljesíteni.
- Plug-in támogatás új komponensek bevezetésével.
- Támogatás a műveletek automatizálásához és a meglévő funkcionalitás bővítéséhez Java és Python nyelvű szkriptek összekapcsolásával.
- Pénzeszközök rendelkezésre állása a kutatócsoportok csapatmunkájához és a munka összehangolásához nagyon nagy projektek fordított tervezése során.
Érdekes módon, néhány órával a Ghidra megjelenése után a csomag sebezhetőséget talált a hibakeresési mód (alapértelmezés szerint letiltva) implementációjában , amely a 18001-es hálózati portot nyitja meg a távoli alkalmazáshibakereséshez a JDWP (Java Debug Wire Protocol) használatával.
Alapértelmezés szerint a hálózati kapcsolatok az összes elérhető hálózati interfészen keresztül jöttek létre a 127.0.0.1 helyett , lehetővé téve a Ghidrához való csatlakozást más rendszerekről, és bármilyen kód futtatását az alkalmazáskörnyezetben.
Például csatlakozhat egy hibakeresőhöz, és megszakíthatja a végrehajtást töréspont beállításával, és a kódot további végrehajtásra helyettesítheti például az "új nyomtatás" paranccsal »
nyomtassa ki az új java.lang.Runtime (). exec ('/ bin / mkdir / tmp / dir') »parancsot.
Ezenkívül megfigyelhető a nyílt interaktív disassembler, a REDasm 2.0 szinte teljesen átdolgozott kiadásának megjelenése.
A program kibővíthető architektúrával rendelkezik, amely lehetővé teszi illesztőprogramok csatlakoztatását további utasításkészletekhez és fájlformátumokhoz modulok formájában. A projekt kódját C ++ (Qt alapú interfész) nyelven írják, és a GPLv3 licenc alatt terjesztik. A munka Windows és Linux rendszereken támogatott.
Az alapcsomag kompatibilis a PE, ELF, DEX (Android Dalvik), Sony Playstation, Xbox, GameBoy és Nintendo64 firmware formátumokkal . A támogatott utasításkészletek közé tartozik az x86, x86_64, MIPS, ARMv7, Dalvik és CHIP-8.
A funkciók közül megemlíthetjük az interaktív IDA-stílusú vizualizáció támogatását, a többszálú alkalmazáselemzést , a vizuális folyamatábra létrehozását, a digitális aláírás-feldolgozó motort (amely SDB fájlokkal működik), valamint a projektmenedzsment eszközeit.
Hogyan kell telepíteni a Ghidrát?
Azoknak, akiket érdekel a „Ghidra” reverz mérnöki eszközkészlet telepítése , tudniuk kell, hogy legalább a következőkkel kell rendelkezniük:
- 4 GB RAM
- 1 GB a készlet tárolásához
- Telepítse a Java 11 Runtime and Development Kit (JDK) alkalmazást.
A Ghidra letöltéséhez fel kell keresned a hivatalos weboldalát, ahonnan letöltheted. A link itt található.
Ha ez megtörtént, csak ki kell csomagolnod a letöltött csomagot, és a könyvtárban megtalálod a „ghidraRun” fájlt, amely futtatja a készletet.
Ha többet szeretne megtudni róla, látogasson el az alábbi linkre.