<span id="7ztzv"></span>
<sub id="7ztzv"></sub>


<span id="7ztzv"></span><form id="7ztzv"></form>


<span id="7ztzv"></span>
    

      

        <address id="7ztzv"></address>
            
				
            原文地址:http://drops.wooyun.org/papers/7649
            
				
      
            
        
            第58章
            


            


            調用assert
            


            有時，assert()宏的出現也是有用的：通常這個宏會泄漏源文件名，行號和條件。
            


            最有用的信息包含在assert的條件中，我們可以從中推斷出變量名或者結構體名。另一個有用的信息是文件名。我們可以從中推斷出使用了什么類型的代碼。并且也可能通過文件名識別出有名的開源庫。
            




            .text:107D4B29 mov  dx, [ecx+42h]
.text:107D4B2D cmp  edx, 1
.text:107D4B30 jz   short loc_107D4B4A
.text:107D4B32 push 1ECh
.text:107D4B37 push offset aWrite_c ; "write.c"
.text:107D4B3C push offset aTdTd_planarcon ; "td->td_planarconfig == PLANARCONFIG_CON"...
.text:107D4B41 call ds:_assert
...
.text:107D52CA mov  edx, [ebp-4]
.text:107D52CD and  edx, 3
.text:107D52D0 test edx, edx
.text:107D52D2 jz   short loc_107D52E9
.text:107D52D4 push 58h
.text:107D52D6 push offset aDumpmode_c ; "dumpmode.c"
.text:107D52DB push offset aN30     ; "(n & 3) == 0"
.text:107D52E0 call ds:_assert
...
.text:107D6759 mov  cx, [eax+6]
.text:107D675D cmp  ecx, 0Ch
.text:107D6760 jle  short loc_107D677A
.text:107D6762 push 2D8h
.text:107D6767 push offset aLzw_c   ; "lzw.c"
.text:107D676C push offset aSpLzw_nbitsBit ; "sp->lzw_nbits <= BITS_MAX"
.text:107D6771 call ds:_assert

            


            同時google一下條件和文件名是明智的，可能會因此找到開源庫。舉個例子，如果我們google查找“sp->lzw_nbits <= BITS_MAX”，將會顯示一些與LZW壓縮有關的開源代碼。
            


            第59章
            


            


            常量
            


            通常人們在生活中或者程序員在編寫代碼時喜歡使用像10，100，1000這樣的整數。
            


            有經驗的逆向工程師會對這些數字的十六進制形式很熟悉：10=0xA, 100=0x64, 1000=0x3E8, 10000=0x2710。
            


            常量 0xAAAAAAAA (10101010101010101010101010101010)和0x55555555 (01010101010101010101010101010101)也很常用——構成alternating bits。舉個例子，0x55AA在引導扇區，MBR，IBM兼容擴展卡中使用過。
            


            某些算法，特別是密碼學方面的使用的常量很有代表性，我們可以在IDA中輕松找到。
            


            舉個例子，MD5算法這樣初始化內部變量：
            


            var int h0 := 0x67452301
var int h1 := 0xEFCDAB89
var int h2 := 0x98BADCFE
var int h3 := 0x10325476

            


            如果你在代碼中某行發現這四個常量，那么極有可能該處函數與MD5有關。
            


            另一個有關CRC16/CRC32算法的例子，通常使用預先計算好的表來計算：
            


            /** CRC table for the CRC-16. The poly is 0x8005 (x^16 + x^15 + x^2 + 1) */
u16 const crc16_table[256] = {
        0x0000, 0xC0C1, 0xC181, 0x0140, 0xC301, 0x03C0, 0x0280, 0xC241,
        0xC601, 0x06C0, 0x0780, 0xC741, 0x0500, 0xC5C1, 0xC481, 0x0440,
        0xCC01, 0x0CC0, 0x0D80, 0xCD41, 0x0F00, 0xCFC1, 0xCE81, 0x0E40,
        ...

            


            CRC3預計算表同見：第37節
            


            59.1 幻數
            


            許多文件格式定義了標準的文件頭，使用了幻數。
            


            舉個例子，所有的Win32和MS-DOS可執行文件以"MZ"這兩個字符開始。
            


            MIDI文件的開始有"MThd"標志。如果我們有一個使用MIDI文件的程序，它很有可能會檢查至少4字節的文件頭來確認文件類型。
            


            可以這樣實現：
            


            (buf指向內存文件加載的開始處)
            


            cmp [buf], 0x6468544D ; "MThd"
jnz _error_not_a_MIDI_file

            


            也可能會調用某個函數比如memcmp()或者等同于CMPSB指令(A.6.3節)的代碼用于比對內存塊。
            


            當你發現這樣的地方，你就可以確定的MIDI文件加載的開始處，同時我們可以看到緩沖區存放MIDI文件內容的地方，什么內容被使用以及如何使用。
            


            59.1.1 DHCP
            


            上面的方法對于網絡協議也同樣適用。舉個例子，DHCP協議網絡包包含了magic cookie：0x6353826。任何生成DHCP包的代碼在某處一定將這個常量嵌入了包中。它在代碼中出現的地方可能就與執行這些操作有關，或者不僅是如此。任何接收DHCP的包都會檢查這個magic cookie，比對是否相同。
            


            舉個例子，我們在Windows 7 x64的dhcpcore.dll文件中搜索這個常量。找到兩處：看上去這個常量在名為DhcpExtractOptionsForValidation()和 DhcpExtractFullOptions()函數中使用:
            


            .rdata:000007FF6483CBE8 dword_7FF6483CBE8 dd 63538263h ; DATA XREF: ? 
    DhcpExtractOptionsForValidation+79
???????????.rdata:000007FF6483CBEC dword_7                        DATA XREF: ? 
    DhcpExtractFullOptions+97

            


            下面是常量被引用的地址：
            


            .text:000007FF6480875F  mov eax, [rsi]
.text:000007FF64808761  cmp eax, cs:dword_7FF6483CBE8
.text:000007FF64808767  jnz loc_7FF64817179

            


            還有：
            


            .text:000007FF648082C7  mov eax, [r12]
.text:000007FF648082CB  cmp eax, cs:dword_7FF6483CBEC
.text:000007FF648082D1  jnz loc_7FF648173AF

            


            59.2 搜索常量
            


            在IDA中很容易：使用ALT-B或者ALT-I。如果是在大量文件或者在不可執行文件中搜索常量，我會使用自己編寫一個叫binary grep的小工具。
            


            第60章
            


            


            尋找合適的指令
            


            如果程序使用了FPU指令但使用不多，你可以嘗試用調試器手工逐個檢查。
            


            舉個例子，我們可能會對用戶如何在微軟的Excel中輸入計算公式感興趣，比如除法操作。
            


            如果我們加載excel.exe(Offic 2010)版本為14.0.4756.1000 到IDA中，列出所有的條目，查找每一條FDIV指令(除了使用常量作為第二個操作數的——顯然不是我們所關心的)：
            


            #!bash
cat EXCEL.lst | grep fdiv | grep -v dbl_ > EXCEL.fdiv

            


            然后我們就會看到有144條相關結果。
            


            我們可以在Excel中輸入像"=(1/3)"這樣的字符串然后對指令進行檢查。
            


            通過使用調試器或者tracer(一次性檢查4條指令)檢查指令，我們幸運地發現目標指令是第14個：
            


            .text:3011E919 DC 33        fdiv    qword ptr [ebx]

PID=13944|TID=28744|(0) 0x2f64e919 (Excel.exe!BASE+0x11e919)
EAX=0x02088006 EBX=0x02088018 ECX=0x00000001 EDX=0x00000001
ESI=0x02088000 EDI=0x00544804 EBP=0x0274FA3C ESP=0x0274F9F8
EIP=0x2F64E919
FLAGS=PF IF
FPU ControlWord=IC RC=NEAR PC=64bits PM UM OM ZM DM IM
FPU StatusWord=
FPU ST(0): 1.000000

            


            ST(0)存放了第一個參數，[EBX]存放了第二個參數。
            


            FDIV(FSTP)之后的指令在內存中寫入了結果：
            


            .text:3011E91B DD 1E        fstp    qword ptr [esi]

            


            如果我們設置一個斷點，就可以看到結果：
            


            PID=32852|TID=36488|(0) 0x2f40e91b (Excel.exe!BASE+0x11e91b)
EAX=0x00598006 EBX=0x00598018 ECX=0x00000001 EDX=0x00000001
ESI=0x00598000 EDI=0x00294804 EBP=0x026CF93C ESP=0x026CF8F8
EIP=0x2F40E91B
FLAGS=PF IF
FPU ControlWord=IC RC=NEAR PC=64bits PM UM OM ZM DM IM
FPU StatusWord=C1 P
FPU ST(0): 0.333333

            


            我們也可以惡作劇地修改一下這個值：
            


            #!bash
tracer -l:excel.exe bpx=excel.exe!BASE+0x11E91B,set(st0,666)

            


            


            PID=36540|TID=24056|(0) 0x2f40e91b (Excel.exe!BASE+0x11e91b)
EAX=0x00680006 EBX=0x00680018 ECX=0x00000001 EDX=0x00000001
ESI=0x00680000 EDI=0x00395404 EBP=0x0290FD9C ESP=0x0290FD58
EIP=0x2F40E91B
FLAGS=PF IF
FPU ControlWord=IC RC=NEAR PC=64bits PM UM OM ZM DM IM
FPU StatusWord=C1 P
FPU ST(0): 0.333333
Set ST0 register to 666.000000

            


            Excel在這個單元中顯示666，我們也可以確信的確找到了正確的位置。
            


            


            如果我們嘗試使用同樣的Excel版本，但是是64位的，會發現只有12個FDIV指令，我們的目標指令在第三個。
            


            tracer.exe -l:excel.exe bpx=excel.exe!BASE+0x1B7FCC,set(st0,666)

            


            看起來似乎許多浮點數和雙精度類型的除法操作都被編譯器用SSE指令比如DIVSD(DIVSD總共出現了268次)替換了。
            


            第61章
            


            可疑的代碼模式
            


            61.1 XOR 指令
            


            像XOR op這樣的指令，op為寄存器(比如，xor eax，eax)通常用于將寄存器的值設置為零，但如果操作數不同，"互斥或"運算將被執行。在普通的程序中這種操作較罕見，但在密碼學中應用較廣，包括業余的。如果第二個操作數是一個很大的數字，那么就更可疑了。可能會指向加密/解密操作或校驗和的計算等等。
            


            而這種觀察也可能是無意義的，比如"canary"(18.3節)。canary的產生和檢測通常使用XOR指令。
            


            下面這個awk腳本可用于處理IDA的.list文件：
            


            gawk -e '$2=="xor" { tmp=substr($3, 0, length($3)-1); if (tmp!=$4) if($4!="esp") if ($4!="ebp")? ????????
                  
            
    
			

            <span id="7ztzv"></span>
            <sub id="7ztzv"></sub>
            

            <span id="7ztzv"></span><form id="7ztzv"></form>
            

            <span id="7ztzv"></span>
              

                

                  <address id="7ztzv"></address>
                      

亚洲欧美在线