Selama konferensi RSA, Badan Keamanan Nasional AS mengumumkan dibukanya akses ke perangkat rekayasa balik "Ghidra" , yang mencakup disassembler interaktif dengan dukungan untuk dekompilasi kode C dan menyediakan alat yang ampuh untuk menganalisis file yang dapat dieksekusi.
Proyek ini telah dikembangkan selama hampir 20 tahun dan secara aktif digunakan oleh badan intelijen AS untuk mengidentifikasi penanda, menganalisis kode berbahaya, mempelajari berbagai file yang dapat dieksekusi, dan menganalisis kode yang telah dikompilasi.
Dari segi kemampuan, produk ini sebanding dengan versi lengkap dari paket IDA Pro yang bersifat eksklusif , tetapi dirancang khusus untuk analisis kode dan tidak menyertakan debugger.
Di sisi lain, Ghidra memiliki dukungan untuk dekompilasi menjadi pseudocode yang menyerupai C (di IDA, fitur ini tersedia melalui plugin pihak ketiga), serta alat yang lebih canggih untuk analisis bersama file yang dapat dieksekusi.
Fitur utama
Di dalam toolkit rekayasa balik Ghidra kita dapat menemukan yang berikut ini:
- Dukungan untuk berbagai set instruksi prosesor dan format file yang dapat dieksekusi.
- Analisis dukungan file yang dapat dijalankan untuk Linux, Windows dan macOS.
- Ini mencakup disassembler, assembler, decompiler, generator grafik eksekusi program, modul untuk mengeksekusi skrip dan seperangkat alat bantu yang besar.
- Kemampuan untuk tampil dalam mode interaktif dan otomatis.
- Dukungan plug-in dengan implementasi komponen baru.
- Dukungan untuk mengotomatiskan tindakan dan memperluas fungsionalitas yang ada melalui koneksi skrip dalam bahasa Java dan Python.
- Ketersediaan dana untuk kerja tim tim peneliti dan koordinasi kerja selama rekayasa ulang proyek yang sangat besar.
Menariknya, beberapa jam setelah Ghidra dirilis, paket tersebut menemukan kerentanan dalam implementasi mode debug (dinonaktifkan secara default), yang membuka port jaringan 18001 untuk debugging aplikasi jarak jauh menggunakan JDWP (Java Debug Wire Protocol).
Secara default, koneksi jaringan dibuat melalui semua antarmuka jaringan yang tersedia, bukan hanya 127.0.0.1 , sehingga memungkinkan Anda untuk terhubung ke Ghidra dari sistem lain dan menjalankan kode apa pun dalam konteks aplikasi.
Misalnya, Anda dapat terhubung ke debugger dan membatalkan eksekusi dengan menyetel breakpoint dan mengganti kode Anda untuk eksekusi lebih lanjut menggunakan perintah "print new", misalnya, »
cetak java.lang.Runtime (). exec ('/ bin / mkdir / tmp / dir') baru ».
Selain itu, dimungkinkan untuk mengamati publikasi edisi yang hampir sepenuhnya direvisi dari disassembler interaktif sumber terbuka REDasm 2.0.
Program ini memiliki arsitektur yang dapat diperluas yang memungkinkan Anda untuk menghubungkan driver untuk set instruksi tambahan dan format file dalam bentuk modul. Kode proyek ditulis dalam C ++ (antarmuka berbasis Qt) dan didistribusikan di bawah lisensi GPLv3. Pekerjaan didukung di Windows dan Linux.
Paket dasar ini kompatibel dengan format firmware PE, ELF, DEX (Android Dalvik), Sony Playstation, XBox, GameBoy, dan Nintendo64 . Set instruksi yang didukung meliputi x86, x86_64, MIPS, ARMv7, Dalvik, dan CHIP-8.
Di antara fitur-fiturnya, kita dapat menyebutkan dukungan untuk visualisasi interaktif ala IDA, analisis aplikasi multi-threaded , pembuatan grafik kemajuan visual, mesin pemrosesan tanda tangan digital (yang bekerja dengan file SDB), dan alat untuk manajemen proyek.
Bagaimana cara menginstal Ghidra?
Bagi mereka yang tertarik untuk menginstal perangkat rekayasa balik “Ghidra” ini , mereka harus mengetahui bahwa mereka setidaknya harus memiliki hal-hal berikut:
- 4 GB RAM
- 1 GB untuk penyimpanan Kit
- Instal Java 11 Runtime and Development Kit (JDK).
Untuk mengunduh Ghidra, Anda perlu mengunjungi situs web resminya tempat Anda dapat mengunduhnya. Tautan unduhannya ada di sini.
Setelah itu, Anda hanya perlu mengekstrak paket yang diunduh dan di dalam direktori tersebut Anda akan menemukan file "ghidraRun" yang akan menjalankan kit tersebut.
Jika Anda ingin mengetahui lebih lanjut, Anda dapat mengunjungi tautan berikut.