Grundlagen des Reverse Engineering

Eine Firma findet auf ihrem eigenen Server ein kleines Werkzeug, und niemand weiß mehr, wer es geschrieben hat. Es gibt keinen Quelltext, nur das Programm. Bevor es jemand startet, muss jemand lesen, was es tut. Das ist Reverse Engineering: herausfinden, wie ein Programm funktioniert, allein aus dem Programm selbst.

• Binärdatei: ein Programm in der Form, in der der Computer es ausführt, eine Datei aus Maschinenbefehlen.
• Disassembler: ein Werkzeug, das Maschinenbefehle wieder in lesbaren Assemblercode verwandelt.
• Debugger: ein Werkzeug, das ein Programm ausführt, dort anhält, wo du es sagst, und seinen Speicher zeigt.
• Register: ein winziger Speicher im Prozessor. Auf dieser Maschine enthält rdi das erste Argument eines Aufrufs.
• Bibliotheksaufruf: ein Aufruf von fertigem Code wie puts, das Text ausgibt.
• Systemaufruf: eine Anfrage eines Programms an das Betriebssystem, zum Beispiel zum Schreiben.

Das Lab legt seine Programme im Ordner revlab ab. hello versteckt kein Geheimnis: Es gibt eine Zeile aus. Der Befehl file sagt, was für eine Datei es ist, ohne sie auszuführen. Achte auf ELF, das Format von Programmen unter Linux, auf den Prozessor, für den sie gebaut wurde, und auf not stripped: Die Namen ihrer Funktionen stecken noch darin.

Ein Programm trägt seinen Text in sich, lesbar, ob jemand ihn zeigen wollte oder nicht. strings gibt jede Folge lesbarer Zeichen aus, das ist eine lange Liste, und der Befehl behält deshalb nur die Zeile mit Hello. Du erfährst, was das Programm sagt, ohne es auszuführen.

objdump -d verwandelt die Befehle in Assembler, einen pro Zeile. Der Befehl fragt nur nach der Funktion main und behält die Zeilen, die puts erwähnen: Es gibt eine, einen call auf die Bibliotheksfunktion, die ausgibt. radare2 macht dieselbe Arbeit und fügt Namen hinzu. aa lässt es die Datei analysieren, pdf @ main gibt die Funktion aus. Suche den Namen puts und den Text, den es bekommt.

Starte das Programm unter gdb und halte es in der ersten Zeile von puts an. So, wie ein Aufruf auf dieser Maschine funktioniert, findet puts die Adresse seines Textes im Register rdi. x/s $rdi heißt: Zeige den String (string) an dieser Adresse. So liest du das Argument einer Funktion, während das Programm pausiert, wie du später ein Passwort lesen wirst.

ltrace gibt jeden Bibliotheksaufruf mit seinen Argumenten aus, strace jeden Systemaufruf. Der erste zeigt, wie puts den Text bekommt. Der zweite zeigt, wie das Programm das Betriebssystem bittet, dieselben Bytes auf den Bildschirm zu schreiben, mit write. Die Begrüßung wird hier ins Leere geschickt, damit nur die Aufzeichnung zu sehen ist. Keiner von beiden verlangt, Assembler zu lesen.