Добавил:

Anonymhacker Опубликованный материал нарушает ваши авторские права? Сообщите нам.

Вуз:

Пензенский Государственный Университет

Предмет:

[НЕСОРТИРОВАННОЕ]

Файл:

книги хакеры / Майкл_Сикорски,_Эндрю_Хониг_Вскрытие_покажет!_Практический_анализ.pdf

Скачиваний:

Добавлен:

19.04.2024

Размер:

17.17 Mб

Скачать

☆

<<< < Предыдущая 18 19 20 21 22 23 24 25 26 27 28 2930 / 8630 31 32 33 34 35 36 37 38 39 40 41 42 > Следующая >>>

hang

NOW!

BUY

152 Часть II • Продвинутый статический анализ

w Click

-xcha

hang

NOW!

BUY

w Click

-x cha

Рис. 6.4. Схематическое представление таблицы переходов для выражения switch

Все четыре варианта четко разбиты на отдельные блоки ассемблерного кода. Эти блоки выстроены вертикально снизу от таблицы переходов, которая определяет, какой из них нужно использовать. Обратите внимание, что все эти прямоугольники, в том числе и начальный, ведут к крайнему правому блоку, который является концом функции.

Дизассемблирование массивов

Массивы используются программистами для определения упорядоченного набора похожих элементов данных. Во вредоносном ПО иногда применяются массивы указателей на строки, содержащие разные доменные имена для установления соединений.

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
Глава 6. Распознавание конструкций языка C в ассемблере 153				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

В листинге 6.24 показаны два массива, которые используются в одной программе. Оба они инициализируются во время прохода по циклу for. Массив a объявлен локально, а массив b — глобально. Это отличие отразится на ассемблерном коде.

Листинг 6.24. Массивы в языке C

int b[5] = {123,87,487,7,978}; void main()

{

int i; int a[5];

for(i = 0; i<5; i++)

{

a[i] = i; b[i] = i;

}

В ассемблере для доступа к массивам используется их начало (базовый адрес). Размер отдельных элементов не всегда очевиден, но его можно определить по тому, как массив проиндексирован. Ниже приведен код из листинга 6.24, транслированный в ассемблер.

Листинг 6.25. Ассемблерный код для массивов из листинга 6.24

00401006	mov	[ebp+var_18], 0
0040100D	jmp	short loc_401018
0040100F	loc_40100F:
0040100F	mov	eax, [ebp+var_18]
00401012	add	eax, 1
00401015	mov	[ebp+var_18], eax
00401018	loc_401018:
00401018	cmp	[ebp+var_18], 5
0040101C	jge	short loc_401037
0040101E	mov	ecx, [ebp+var_18]
00401021	mov	edx, [ebp+var_18]
00401024	mov	[ebp+ecx*4+var_14], edx
00401028	mov	eax, [ebp+var_18]
0040102B	mov	ecx, [ebp+var_18]
0040102E	mov	dword_40A000[ecx*4], eax
00401035	jmp	short loc_40100F

В этом листинге массив b имеет базовый адрес dword_40A000, а массив a — var_14. Так как оба массива хранят целые числа, каждый их элемент занимает 4 байта, хотя инструкции и , которые применяются для доступа к ним, различаются. В обоих случаях в качестве индекса используется регистр ecx, который умножается на 4, чтобы учесть размер элементов. При обращении к определенному элементу итоговое значение добавляется к базовому адресу массива.

Распознавание структур

Структуры похожи на массивы, однако в них могут содержаться элементы разных типов. Структуры часто используются авторами вредоносных программ для группирования информации. Иногда это легче, чем следить за множеством отдельных

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
w				to	BUY			154 Часть II • Продвинутый статический анализ
w Click				to
w Click									o	m
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

переменных, особенно если к одному и тому же набору значений обращается много разных функций (функции Windows API часто используют структуры, которые должны создаваться и управляться вызывающей программой).

В листинге 6.26 объявляется структура , состоящая из целочисленного массива, символа и числа типа double. Внутри mаin мы выделяем для нее память и передаем ее в функцию test. Переменная struct gms является глобальной.

Листинг 6.26. Пример структуры в языке C

struct my_structure { int x[5];

char y; double z;

};

struct my_structure *gms;

void test(struct my_structure *q)

{

int i;

q->y = ‘a'; q->z = 15.6;

for(i = 0; i<5; i++){ q->x[i] = i;

}

void main()

{

gms = (struct my_structure *) malloc( sizeof(struct my_structure)); test(gms);

}

Доступ к структурам (как и к массивам) осуществляется через их начальный, базовый адрес. Сложно сказать, являются ли близлежащие типы данных частью одной структуры или же они просто размещаются рядом. В зависимости от контекста способность распознать структуру может сыграть важную роль в анализе вредоносного ПО.

Ниже показана дизассемблированная функция main из листинга 6.26. Поскольку struct gms является глобальной переменной, ее базовый адрес, dword_40EA30, будет находиться в памяти, как показано в листинге 6.27. Базовый адрес структуры передается в функцию test (sub_401000) с помощью инструкции push eax .

Листинг 6.27. Ассемблерный код функции main со структурой из листинга 6.26

00401050	push	ebp
00401051	mov	ebp, esp
00401053	push	20h
00401055	call	malloc
0040105A	add	esp, 4
0040105D	mov	dword_40EA30, eax
00401062	mov	eax, dword_40EA30

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

00401067

00401068

0040106D

00401070

00401072

00401073

					hang		e
				C			e	E
			X					E
		-							d
		F								t
		D								i
		D								r
	P						NOW!			o
	P
						BUY
Глава 6. Распознавание конструкций языка C в ассемблере 155					to	BUY
	w Click				to						m
	w Click										m
	w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha
push	eax
call	sub_401000
add	esp, 4
xor	eax, eax
pop	ebp
retn

Ниже показан ассемблерный код метода test из листинга 6.26. Здесь arg_0 является базовым адресом структуры. Сдвиг 0x14 хранит ее символ, а значение 0x61 соответствует букве a в формате ASCII.

Листинг 6.28. Ассемблерный код функции test из листинга 6.26

00401000	push	ebp
00401001	mov	ebp, esp
00401003	push	ecx
00401004	mov	eax,[ebp+arg_0]
00401007	mov	byte ptr [eax+14h], 61h
0040100B	mov	ecx, [ebp+arg_0]
0040100E	fld	ds:dbl_40B120
00401014	fstp	qword ptr [ecx+18h]
00401017	mov	[ebp+var_4], 0
0040101E	jmp	short loc_401029
00401020	loc_401020:
00401020	mov	edx,[ebp+var_4]
00401023	add	edx, 1
00401026	mov	[ebp+var_4], edx
00401029	loc_401029:
00401029	cmp	[ebp+var_4], 5
0040102D	jge	short loc_40103D
0040102F	mov	eax,[ebp+var_4]
00401032	mov	ecx,[ebp+arg_0]
00401035	mov	edx,[ebp+var_4]
00401038	mov	[ecx+eax*4],edx
0040103B	jmp	short loc_401020
0040103D	loc_40103D:
0040103D	mov	esp, ebp
0040103F	pop	ebp
00401040	retn

Мы можем определить, что сдвиг 0x18 является числом типа double, поскольку он используется в инструкции с плавающей запятой . Мы также можем сказать, что целые числа перемещаются со сдвигами 0, 4, 8, 0xC и 0x10, если изучим цикл for и посмотрим, где используются эти сдвиги . На основе этого анализа можно сделать вывод о содержимом структуры.

IDA Pro позволяет создать структуру и присвоить ее ссылке в памяти. Для этого нужно нажать клавишу T. Если это сделать, инструкция mov [eax+14h], 61h превратится в mov [eax + my_structure.y], 61h. Второй вариант легче понять. Маркирование структур также помогает ускорить анализ дизассемблированного кода, особенно если вы постоянно следите за тем, какие структуры в нем используются. Чтобы эффективно применить данную функцию IDA Pro, вам необходимо вручную создать структуру my_structure в соответствующем окне. Этот процесс может оказаться утомительным, но он должен помочь в анализе часто встречающихся структур.

<<< < Предыдущая 18 19 20 21 22 23 24 25 26 27 28 2930 / 8630 31 32 33 34 35 36 37 38 39 40 41 42 > Следующая >>>

Соседние файлы в папке книги хакеры

#
19.04.2024396.03 Кб12Книга хакеры.pdf
#
19.04.202429.19 Mб16Колисниченко Д. Н. Хакинг на linux.pdf
#
19.04.20242.75 Mб14Криптография.pdf
#
19.04.202438.52 Mб16Курс_по_кибер_безопастности_Секреты_хакеров.pdf
#
19.04.20242.94 Mб15Линдер_Кани_Тим_Кук_Гений,_который_вывел_Apple_на_новый_уровень.pdf
#
19.04.202417.17 Mб15Майкл_Сикорски,_Эндрю_Хониг_Вскрытие_покажет!_Практический_анализ.pdf
#
19.04.20246.23 Mб15Михаил_Флёнов_Компьютер_глазами_хакера.pdf
#
19.04.20249.23 Mб15Питер_Гудлиф_Ремесло_программиста_Практика_написания_хорошего_кода.pdf
#
19.04.202413.63 Mб25Полный_мануал_по_кардингу_от_А_до.pdf
#
19.04.20241.21 Mб14Пособие_по_кардингу_Авторская_2021.pdf
#
19.04.202431.35 Mб22практический хакинг.pdf