逆向分析工具介紹

2.1逆向分析工具介紹

在二進位程式碼分析中，必須要用到逆向分析的工具，這些軟體工具一般可分為
2.1系統監控工具，
2.2反組譯碼器，
2.3調試器
2.4和反編譯器。

系統監控工具用來監控，研究以及剖析
待逆向的程式，這是由於程式與外部世界的通訊都要經過作業系統，系統監控工具可
以監控網路活動，檔案訪問，註冊表訪問等等一系列的軟體運行活動。反組譯碼器足以
程式的可執行二進位代碼為輸入，產生包含整個或部分程式的彙編代碼文字檔的程
序。

反組譯碼是一個與處理器相關的過程，反組譯碼器一般支援多種CPU絮構，反組譯碼
器的工作過程比較簡單，但優秀的反組譯碼器能更加準確識別二進位代碼，提高逆向分
析效率。

調試器是一種程式，它允許軟體開發人員在程式啟動並執行同時觀察程式。它的
兩個最基本特徵是：斷點設定和代碼跟蹤。斷點允許使用者選擇程式中任意位置的某行
代碼，一旦程式運行在這一行，它就指示調試器暫停程式的運行，並顯示程式的當前
狀態。代碼跟蹤允許使用者在程式運行時跟蹤它的執行，跟蹤意味著程式每執行一條匯
編代碼然後暫停，並允許使用者觀察甚至改變程式的狀態。通過斷點設定和代碼跟蹤，
使用者可以在程式執行到有問題的代碼的同時仔細地觀察代碼，並確定問韙的所在。

反編譯器的功能要比反組譯碼器更進一步，反編澤器接受可執行檔二進位檔案，並試圖從
中產生可讀性好的進階程式語言代碼。其思想是嘗試逆向編譯的過程，以獲得最初的
原始碼檔案或接近最初原始碼的檔案 。然而對於人多數C，C++開發的程式而言，
真正恢複初始源檔案是不太現實的。

我們在逆向分析中運用了大量的輔助軟體，這砦軟體不僅僅在對FreeGate軟體的
分析中有重要用途，同時也可以將其擴充，在建立一個通用分析方法中扮演不可或缺
的角色。
我們將分析工具分為五大類，以下工具均為運行在Windows下的軟體。
(1)反組譯碼工具
反組譯碼工具是逆向分析中，最重要的工具，它不僅僅能夠將可執行檔的．二進位代
碼翻澤成彙編代碼，同時還可以根據軟體內部的互相調用關係分析軟體的結構，識別

軟體的函數調用。反組譯碼工具在逆向分析中作為前期的處理者，能夠極大的減少人工
工作。我們主要使用的反組譯碼工具有：

Ollydbg l.10（自由軟體，功能強大，結合靜態反組譯碼與動態調試的分析器）
Win32Dasml （自由軟體，靜態分析工具）
IDA pr0 5.0 （商業軟體，最強大的靜態反組譯碼工具）
(2)動態調試工具
動態調試工具是人工逆向分析中所用到的主要工具，在經過反組譯碼工具的處理之
後，我們可以獲得人量的軟體資訊，但是軟體的行為和許多細節，必須在運行過程中
才能尋找出來，因此我們需要結合動態調試上具進行分析。我們主要使用的動態調試
工具有：
Ollydbg l.10（自由軟體，功能強大，結合靜態反組譯碼與動態調試的分析器）
Windbg 6.7【8】（免費軟體，Microsoft公司的核心級調試工具）

(3)軟體資訊識別和修改工具
軟體資訊識別和修改工具，是軟體資訊分析的重要協助工具輔助，通過這些工具灼幫
助我們能夠方便的擷取軟體的內部資源資訊，問時還可以修改一砦細節，方便調試。
我們常州的軟體資訊識別和修改工具有：
Hedit l.0（共用軟體，16進位編輯器）
PEiD 0.94（免費較件，軟體資訊和編寫語言分析工具）
(4)系統監視工具
作為黑箱分析的重要輔助手段，對於軟體的各方面進行監視的工具是必不可少
的，我們將其分成網路監視，進程監視，檔案監視和註冊表監視網個方面：
Wireshark l.0 （免費軟體，網路監視和包分析類軟體）
Outpost Firewall 4.01 （共用軟體，使用hook技術的Windows防火牆）
ProcExp 10.21 （免費軟體，強人的進程分析軟體）
FileMon 7.04 （免費軟體，強大的檔案讀寫監視軟體）
RegMon 7.04 （免費軟體，強大的註冊表讀寫監視軟體）
(5)專用反保護工具
LordPE （Win32 PE檔案修改，轉存工具）
ImportREC （Win32 PE檔案結構修複軟體）
AIl versions ASPack unpacker （免費軟體，ASPack壓縮殼脫殼工具）
UnPECompact2.02[19]（免費軟體，PECompact壓縮殼脫殼工具）
UPX 3.0[20]（自由軟體，UPX壓縮殼加殼和脫殼工具）

參考:
FG軟體的逆向分析技術研究.doc

Powered by Zoundry