Pratik Ters Mühendislik: Başlangıç için Uygulamalı Kılavuz

Ters mühendislik, kaynak koda erişim olmaksızın derlenmiş yazılımın mantığını, davranışını ve amacını anlamak için onu parçalara ayırma işlemidir. Kötü amaçlı yazılım analiz ediyor olsanız, kapalı kaynak ikili dosyaları denetliyor olsanız veya CTF sorunlarını çalışıyor olsanız, aynı temel iş akışı uygulanır: bilgiyi statik olarak toplayın, sonra hipotezlerinizi dinamik olarak doğrulayın. Bu kılavuz, hemen uyguleyebileceğiniz pratik, araçtan bağımsız adımlarla bu iş akışında size yol gösterir.

Güvenli Bir Analiz Ortamı Kurma

Herhangi bir bilinmeyen ikili dosyaya dokunmadan önce çalışma alanınızı izole edin. Ana makineniz ile ağ bağlantısı olmayan, analiz öncesinde anlık görüntüsünü alan, paylaşılan klasörleri ve pano eşitlemeyi devre dışı bırakan ayrılmış bir sanal makine kullanın. radare2, Ghidra, gdb ve objdump içeren bir Linux VM çoğu statik ve dinamik ihtiyacı karşılarken, x64dbg ve Process Monitor ile bir Windows VM PE dosyaları için gereklidir. Şüpheli örnekleri asla birincil makinenizde analiz etmeyin ve oturumlar arasında çapraz kontaminasyonu önlemek için her zaman anlık görüntüleri geri yükleyin.

Statik Analiz: Çalıştırmadan Okuma

file ve readelf -h (Linux) veya bir PE başlığı denetçisi (Windows) kullanarak dosya türünü ve mimarisini tanımlayarak başlayın. Entropi analizi ile paketlemeyi veya obfuskasyonu kontrol edin — Detect It Easy gibi araçlar sıkıştırma veya şifrelemeyi düşündüren şüpheli derecede yüksek entropi bölümlerini işaretler.

Sonra ikiliyi Ghidra veya IDA Free gibi bir disassembler'a yükleyin. Şunlara odaklanın:

• İthalatlar ve ihraçatlar — CreateRemoteThread veya VirtualAllocEx gibi API çağrıları işlem enjeksiyonunu düşündürür; WSAStartup ağ bağlantısını düşündürür.
• Dizeler — strings -n 8 binary çalıştırarak sabit kodlanmış URL'ler, dosya yolları veya işlevselliği ortaya koyan hata ayıklama iletilerini ortaya çıkarın.
• Kontrol akışı grafikleri — Ghidra'nın decompiler görünümü ham assembleri okunabilir sözde-C'ye dönüştürerek döngülerin ve koşulların anlayışını dramatik şekilde hızlandırır.

Fonksiyon adlarını anlayarak not alın. sub_401020 öğesini decrypt_config olarak yeniden adlandırmak, geri kalanınızın analiz etmeyi takip etmesini anında kolaylaştırır.

Dinamik Analiz: Çalışırken İzleme

Statik analiz, özellikle obfuskasyonlu veya paketlenmiş kod karşısında sizi sadece belirli bir yere kadar götürür. İkiliyi bir debugger'a yükleyin ve daha önce tanımlanan şüpheli API çağrılarında kesme noktaları ayarlayın. x64dbg'de, VirtualAlloc veya WriteProcessMemory üzerine kesilmek, çoğu zaman şifresi çözülmüş kodu bellekte yürütülmeden hemen öncesine yazıldıkça açıklanmış rutinleri ortaya çıkarır.

Process Monitor veya Linux'ta strace/ltrace kullanarak dosya, kayıt defteri ve ağ aktivitesini gerçek zamanda günlüğe kaydettirin. Bu harici görünüş, debugger'dan gelen iç görünümü tamamlar ve çoğu zaman disassembly'de spot yapmak zor olan davranışı ortaya çıkarır; örneğin geçici dosya oluşturma veya DNS aramaları.

Ağ yeteneğine sahip ikili dosyalar için bunları Wireshark veya INetSim gibi bir sahte internet simülatörünün yanında çalıştırarak komut ve kontrol trafiğini örneğin aslında internete ulaşmasına izin vermeden gözlemleyin.

Anti-Analiz Hileleriyle Başa Çıkma

Birçok ikili dosya — özellikle kötü amaçlı yazılım — debugger'ları, sanal makineleri veya sandbox'ları tespit etmek için tasarlanan kontroller içerir. Yaygın teknikler IsDebuggerPresent çağrısını, VM'ye özgü kayıt defteri anahtarlarını kontrol etmeyi veya tek adımlamayı tespit etmek için yürütme zamanını ölçmeyi içerir. Statik analiz sırasında bu kontrolleri tespit ettiğinizde, koşullu atlamayı debugger'da geçersiz kılmaya zorlayabilirsiniz