Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-24 13:43:24 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/reversing/cryptographic-algorithms/unpacking-binaries.md

5.6 KiB
Raw Blame History

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Identificando binários empacotados

  • falta de strings: É comum encontrar que binários empacotados não têm quase nenhuma string.
  • Muitas strings não utilizadas: Além disso, quando um malware usa algum tipo de empacotador comercial, é comum encontrar muitas strings sem referências cruzadas. Mesmo que essas strings existam, isso não significa que o binário não esteja empacotado.
  • Você também pode usar algumas ferramentas para tentar descobrir qual empacotador foi usado para empacotar um binário:
  • PEiD
  • Exeinfo PE
  • Language 2000

Recomendações Básicas

  • Comece a analisar o binário empacotado de baixo para cima no IDA. Desempacotadores saem uma vez que o código desempacotado sai, então é improvável que o desempacotador passe a execução para o código desempacotado no início.
  • Procure por JMP's ou CALLs para registradores ou regiões de memória. Também procure por funções que empurram argumentos e uma direção de endereço e depois chamam retn, porque o retorno da função, nesse caso, pode chamar o endereço que foi apenas empurrado para a pilha antes de chamá-lo.
  • Coloque um breakpoint em VirtualAlloc, pois isso aloca espaço na memória onde o programa pode escrever código desempacotado. "executar até o código do usuário" ou use F8 para obter o valor dentro de EAX após executar a função e "seguir aquele endereço no dump". Você nunca sabe se essa é a região onde o código desempacotado será salvo.
  • VirtualAlloc com o valor "40" como argumento significa Leitura+Gravação+Execução (algum código que precisa de execução será copiado aqui).
  • Enquanto desempacota o código, é normal encontrar várias chamadas para operações aritméticas e funções como memcopy ou VirtualAlloc. Se você se encontrar em uma função que aparentemente apenas realiza operações aritméticas e talvez algum memcopy, a recomendação é tentar encontrar o final da função (talvez um JMP ou chamada para algum registrador) ou pelo menos a chamada para a última função e executar até lá, pois o código não é interessante.
  • Enquanto desempacota o código, note sempre que você muda a região de memória, pois uma mudança de região de memória pode indicar o início do código desempacotado. Você pode facilmente despejar uma região de memória usando o Process Hacker (processo --> propriedades --> memória).
  • Enquanto tenta desempacotar o código, uma boa maneira de saber se você já está trabalhando com o código desempacotado (para que você possa apenas despejá-lo) é verificar as strings do binário. Se em algum momento você realizar um salto (talvez mudando a região de memória) e notar que muitas mais strings foram adicionadas, então você pode saber que está trabalhando com o código desempacotado.
    No entanto, se o empacotador já contém muitas strings, você pode ver quantas strings contêm a palavra "http" e verificar se esse número aumenta.
  • Quando você despeja um executável de uma região de memória, pode corrigir alguns cabeçalhos usando PE-bear.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}