摘要:
目录 APM软件原理分析1 0x00 背景1 0x01 安装过程1 0x02 启动过程5 0x03 触发过程7 0x04 整体流程13 0x05 资源13 APM软件原理分析 0x00 背景 本次使用PHP网站的APM监控插件作为研究对象,目的在于搞清: 1)分析安装过程中对哪些进程和文件进行了修改; 2)插件... 阅读全文
摘要:
idapython让生活变得更美好:第四部分 ——使用颜色和调试功能标识指令 前三部分已经验证了用IDAPython能让工作变简单。这一部分让我们看看逆向工程师如何使用IDAPython的颜色和强大的脚本特性。 分析者经常得面对越来越复杂的代码,而且有时候无法轻易看出动态执行的时候执行的代码。使用IDAPython的强大功能,我们不但能静态的标识指令,并且能够统计出对应的指令被使用了多少次... 阅读全文
摘要:
原文链接: http://researchcenter.paloaltonetworks.com/2016/01/using-idapython-to-make-your-life-easier-part-5/ 我们继续IDAPython让生活更美好序列,这一部分我们解决逆向工程师日常遇到的问题:提取执行的内嵌代码。 恶意软件会用各种方式存储内嵌可执行代码。 有些恶意软件将内嵌代码加到文件附加... 阅读全文
摘要:
继续我们的主题——使用IDAPython让逆向工程师的生活变得更美好。 这一部分,我们将着手处理一个非常常见的问题:shellcode和恶意软件使用hash算法混淆加载的函数和链接库,这项技术被广泛使用。使用IDAPython,我们能够很容易的解决这个很有挑战性的问题。 背景 逆向人员经常在shellcode里遇到名字被混淆的函数。 总体来说这个过程比较简单。 代码运行之后会在初始化阶... 阅读全文
摘要:
idapython让生活变得更美好:第三部分(条件断点) 在过去两个部分中,我们已经讨论了使用IDAPython让逆向工程更容易一些。这一部分我们来看一下条件断点。 当在IDA中调试时,分析者经常遇到希望在一个特殊的地址中断下来的情况,但只有一些特定的情况能够触发。一个典型的例子就是,只有在特殊的参数传递进去的时候,才能断到一个特殊的函数的调用处。另外一个实例是我希望我的分析虚拟机加载一个特... 阅读全文
摘要:
作为一个恶意软件逆向工程师,我每天都频繁的使用IDA Pro。甚至将IDA Pro作为一个工业标准都不令人惊讶(虽然radare2和Hopper可以作为替代)。 IDAPython是IDA的一个功能强大的扩展特性,对外提供了大量的IDA API调用,我强烈推荐所有的逆向工程师使用。另外,你还能在使用python 脚本语言的过程中获得能力提升,最终也能使你获利。 不幸的是,除了下面这几项,关于I... 阅读全文
摘要:
构建自己的yara数据库 之前有看到过关于yara的文章,基本是关于规则怎么写的翻译文章。But…现实分析中我遇到的问题是我懒得自己写yara规则,我的yara规则库数量太少了,开始很多文件无法匹配出结果。yara规则怎么写对我来说暂时用不上,我需要的是能快速建立yara规则库,对于新的恶意软件,最好有工具能够自动帮我分析出样本的yara规则,然后添加到现有的yara规则库中。 解决方案 在网上找... 阅读全文