Током конференције RSA, Национална безбедносна агенција САД објавила је отварање приступа комплету алата за реверзни инжењеринг „Ghidra“ , који укључује интерактивни дизасемблер са подршком за декомпилацију C кода и пружа моћне алате за анализу извршних датотека.
Пројекат је у развоју скоро 20 година и активно га користе америчке обавештајне агенције за идентификацију маркера, анализу злонамерног кода, проучавање разних извршних датотека и анализу компајлираног кода.
Што се тиче могућности, производ је упоредив са проширеном верзијом власничког IDA Pro пакета , али је дизајниран искључиво за анализу кода и не укључује дебагер.
С друге стране, Ghidra има подршку за декомпилацију у псеудокод који подсећа на C (у IDA-и, ова функција је доступна преко додатака трећих страна), као и моћније алате за заједничку анализу извршних датотека.
Главне карактеристике
У оквиру Гхидра алата за обрнути инжењеринг можемо пронаћи следеће:
- Подршка за различите скупове процесорских упутстава и извршних формата датотека.
- Анализа извршне датотеке за извршне датотеке за Линук, Виндовс и мацОС.
- Укључује растављач, асемблер, декомпајлер, генератор графикона извршења програма, модул за извршавање скрипти и велики скуп помоћних алата.
- Способност извођења у интерактивном и аутоматском режиму.
- Плуг-ин подршка за примену нових компоненти.
- Подршка за аутоматизацију радњи и проширивање постојеће функционалности повезивањем скрипти на Јава и Питхон језицима.
- Доступност средстава за тимски рад истраживачких тимова и координацију рада током обрнутог инжењеринга врло великих пројеката.
Занимљиво је да је неколико сати након објављивања Ghidra-е, пакет пронашао рањивост у имплементацији режима за дебаговање (подразумевано онемогућен), који отвара мрежни порт 18001 за удаљено дебаговање апликација користећи JDWP (Java Debug Wire Protocol).
Подразумевано, мрежне везе су успостављене преко свих доступних мрежних интерфејса, уместо преко 127.0.0.1 , што вам омогућава да се повежете са Ghidra-ом са других система и покренете било који код у контексту апликације.
На пример, можете се повезати са програмом за отклањање грешака и прекинути извршавање постављањем тачке прекида и заменити свој код за даље извршавање помоћу наредбе „испиши ново“, на пример, »
исписати нови јава.ланг.Рунтиме (). екец ('/ бин / мкдир / тмп / дир') ».
Поред тога, могуће је посматрати објављивање готово потпуно ревидираног издања отвореног интерактивног дизасемблера REDasm 2.0.
Програм има прошириву архитектуру која вам омогућава да повежете управљачке програме за додатне скупове упутстава и формате датотека у облику модула. Код пројекта написан је на језику Ц ++ (интерфејс заснован на Кт) и дистрибуиран под ГПЛв3 лиценцом. Рад подржан на Виндовс-у и Линук-у.
Основни пакет је компатибилан са PE, ELF, DEX (Android Dalvik), Sony Playstation, XBox, GameBoy и Nintendo64 форматима фирмвера . Подржани скупови инструкција укључују x86, x86_64, MIPS, ARMv7, Dalvik и CHIP-8.
Међу карактеристикама, можемо поменути подршку за интерактивну визуелизацију у IDA стилу, анализу апликација са више нити , израду визуелног графикона напретка, механизам за обраду дигиталног потписа (који ради са SDB датотекама) и алате за управљање пројектима.
Како инсталирати Гхидра?
За оне који су заинтересовани за инсталирање овог комплета алата за реверзни инжењеринг „Ghidra“ , требало би да знају да морају имати најмање следеће:
- КСНУМКС ГБ РАМ меморије
- 1 ГБ за складиштење у комплету
- Инсталирајте Јава 11 Рунтиме анд Девелопмент Кит (ЈДК).
Да бисте преузели Гидру, потребно је да одете на њен званични веб-сајт где је можете преузети. Линк је овде.
Када се ово уради, само треба да распакујете преузети пакет и унутар директоријума ћете пронаћи датотеку „ghidraRun“ која ће покренути комплет.
Ако желите да сазнате више о томе, можете посетити следећи линк.