Fundamentos de ingeniería inversa

Una empresa encuentra una pequeña herramienta en su propio servidor y nadie recuerda quién la escribió. No hay código fuente, solo el programa. Antes de ejecutarlo, alguien tiene que leer lo que hace. Eso es la ingeniería inversa: averiguar cómo funciona un programa a partir del propio programa.

• Binario: un programa tal como lo ejecuta el ordenador, un archivo de instrucciones de máquina.
• Desensamblador: una herramienta que convierte las instrucciones de máquina en ensamblador legible.
• Depurador: una herramienta que ejecuta un programa, lo detiene donde tú dices y muestra su memoria.
• Registro: una memoria diminuta dentro del procesador. En esta máquina, rdi guarda el primer argumento de una llamada.
• Llamada a biblioteca: una llamada a código ya hecho, como puts, que imprime texto.
• Llamada al sistema: una petición de un programa al sistema operativo, por ejemplo para escribir.

El laboratorio guarda sus programas en la carpeta revlab. hello no esconde ningún secreto: imprime una línea. El comando file dice qué clase de archivo es sin ejecutarlo. Fíjate en ELF, el formato de los programas en Linux, en el procesador para el que se construyó y en not stripped, que significa que los nombres de sus funciones siguen dentro.

Un programa lleva su texto dentro, legible, lo haya querido mostrar alguien o no. strings imprime cada serie de caracteres legibles, que es una lista larga, así que el comando se queda solo con la línea que contiene Hello. Descubres lo que dice el programa sin ejecutarlo.

objdump -d convierte las instrucciones en ensamblador, una por línea. El comando pide solo la función main y se queda con las líneas que mencionan puts: hay una, una llamada (call) a la función de biblioteca que imprime. radare2 hace el mismo trabajo y añade nombres. aa le pide que analice el archivo y pdf @ main imprime la función. Busca el nombre puts y el texto que recibe.

Ejecuta el programa bajo gdb y deténlo en la primera línea de puts. Por la forma en que funciona una llamada en esta máquina, puts encuentra la dirección de su texto en el registro rdi. x/s $rdi significa: muestra la cadena (string) que hay en esa dirección. Así lees el argumento de una función mientras el programa está en pausa, como leerás una contraseña.

ltrace imprime cada llamada a biblioteca con sus argumentos, y strace cada llamada al sistema. La primera muestra a puts recibiendo el texto. La segunda muestra al programa pidiendo al sistema operativo que escriba los mismos bytes en la pantalla, con write. Aquí el saludo se envía a ninguna parte para que solo se vea el rastro. Ninguna de las dos obliga a leer ensamblador.