创建时间：2008-05-04
文章属性：转帖
文章提交：xikug (xikug_at_163.com)

代码逆向乱谈之导引


序

早就想写点什么，自己都不知道一天在瞎忙什么，一直到最近才开始动手。。。我想通过这个乱谈系列跟大家分享一些心得。我打算在这个系列文章中讲点方法与思路，当然，很多方法并不是我的原创，只是我用这些方法和思路解决了我的实际问题。由于本人水平有限，很多说法只是我个人的理解，然后用我自己的语言表达出来，可能并不专业，所以在这里不负责任的乱谈一下，欢迎大家拍砖。

什么是代码逆向

代码逆向即是在没有源代码的情况下，对目标程序的行为、数据流、及编译器生成的代码进行分析，通过分析我们可以了解、发现程序的功能、流程、规则、及技术实现细节等，通过分析我们能对其进行优化、功能增强、漏洞填补、甚至还原成源代码等。这个分析过程我们可以称作逆向分析或逆向工程，简称逆向。

对我们个人而言或许我们能够从逆向分析的过程得到的最大好处就是学习到优秀程序的设计思想、及技术实现细节。

当今，逆向分析技术在很多地方都得到了应用，典型应用包括恶意软件分析、漏洞挖掘、BUG定位、技术探秘等。

有人可能会说逆向太无耻了，自己不会写就偷别人的代码。。。我就不相信说这话的人什么都会，我就不信他没有分析过别人的东西，学习过别人的东西，我只能说他是无知的。。。殊不知逆向是一个探索未知的方法，是一种学习态度，是代表不屈服于困难的精神。如果没有逆向当前的很多科学进步不了这么快，也可能不能取得进步，科学研究就是探索未知，把我们未知的东西进行分析研究变成已知，不光是软件领域有逆向工程的应用，其他领域如：基因重组、化工、制药、电子、建筑、航空、军事等领域也存在着他们各自的逆向工程应用，逆向工程帮助科研人员把未知的东西进行分解、研究、组合、改进等，甚至创造新的东西出来等，科学就是这样一点点进步的。

通过逆向得到的好处是显而易见的，然而任何技术都是把双刃剑，逆向分析技术也不例外。可能被人用于学习、解决技术问题或做有益于软件安全的事，也可能被人用于搞破坏。

逆向方法

白盒分析
白盒分析就是从代码级别上(可能是反汇编代码、反编译的伪代码或源代码)，通过动态调试或静态反汇编分析和理解程序的功能、逻辑，找到程序的安全问题等。

黑盒分析
黑盒分析是指从程序的外部，通过观察程序运行时候的行为，规则等来猜测和断定程序可能的实现方法，是否有存在脆弱点等。

灰盒分析
灰盒分析通常需要借助一些专有工具(可能需要自己编写)，如api监视工具，陷阱工具，内存比较工具，文件监视工具等对目标程序进行监控，看它发生了什么操作，调用了哪些api，产生了哪些结果，在系统哪些地方安插了HOOK或过滤等，以此来猜测和断定程序可能的实现细节。

目前越来越多的程序加了VM或进行了代码扭曲，用白盒分析此类程序可能会花很大力气也找不到突破口，而黑盒和灰盒分析往往对这类程序可能有意想不到的效果。

逆向手段

动态调试
通过调试器对目标程序进行追踪分析，能够清楚的了解到程序运行起来后内部的状态，运算结果等信息。

静态反汇编/反编译分析
使用反汇编器或反编译器把目标程序变为可读的汇编代码或伪代码，然后分析程序的结构，流程，逻辑等。

如何学习

逆向并不是想像中那么难，但也不是想像中的那么简单，真正困难的是如何有效的运行这些方法和手段来更快、更好的达到我们的目的，这需要累积大量的程序设计经验和逆向经验。

通常我们进行逆向的时候希望达到的目的大致可分为以下几种：

技术探秘/代码还原

软件漏洞挖掘

软件Bug定位

软件行为/规则分析

解除软件的使用限制

进行辅助程序的开发


我们要达到的目的不同，逆向时采用的方法和手段的“细腻”程度也不会相同，譬如我们对一个win32平台下的内核驱动进行“技术探秘/代码还原”的时候可能会把白盒、黑盒和灰盒所有的方法和手段都用上，每段汇编代码我们都必须看懂，代码实现了什么功能，跟另一段代码有什么关系，理解整个代码的架构和思想等；而我们在进行“软件行为/规则分析”的时候可能只需用上黑盒或灰盒分析法就够了，知道按下这个按钮后读写了哪些文件，哪些注册表项，调用了哪些api等等。分析过程中有时候我们只需静态反汇编看一下就可以了，有时候我们可能还需要动态调试一下，总之没有固定的套路，一切视情况而定。

扎实的编程基础是学好逆向的关键，基础打好了学什么都快。程序的基础就是算法和数据结构，语言只是一个实现的工具，绝大多数语言都是相通的，我们只要掌握一门，以后如果需要学习其他语言的话上手就会很快了，基础知识我们重点需要掌握以下内容：

１．至少一门高级程序设计语言，推荐C语言或Pascal
２．x86汇编语言
３．常用算法和数据结构

软件一般都是在特定平台下运行的，如Windows平台，Linux平台，WinCE平台，Java平台，Symbian平台，Plam平台等等。。。针对特定平台下的软件逆向，需要掌握特定平台下程序设计的相关知识，包括其SDK，进程管理，内存管理，文件系统等。这些东西不必全部精通，但要有个大致的了解，常用Api要知道，有特定平台下的程序设计经验最佳，遇到问题知道在哪里能找到自己想要的资料就够了。逆向的过程本身就是一个学习的过程，因此我们可以在逆向的过程中补充自己相关的知识，这样学习的效果是最佳的。(由于本人所接触的面比较窄，接触得最多的就是x86 Windows平台下的原生程序逆向，因此本系列文章中的内容除非特别说明都是指x86的Windows平台下原生程序和代码)

学习逆向的最好方式就是动手实践，在实践中有针对性的学习。通常来说我们逆向时所面临的东西对我们来说是未知的或者是可能知道但不确定的，如果是已知的就没必要再去逆向了。针对性的学习就是在自己逆向的时候缺什么知识就补什么知识，日积月累过后我们的收获是相当可观的，不光是经验值的增长，还有知识面的增长和知识深度的增长。

编程的经验对于我们实践逆向时也很重要，例如进行“漏洞挖掘”的时候我们可能会以程序设计者的角色进行思考，程序在哪些地方需要进行防范，哪些地方可能会出现漏洞等等，如果我们有足够的经验的话，可以很快定位到相关的代码部分对其进行分析，看是否存在可能的漏洞。又如在进行“技术探秘/代码还原”的时候，由于现在的程序规模越来越大，我们不可能每条指令，每段代码都去看，都去逆向，假如一个１M的程序需要这样做的话，光时间成本上来说成本都是相当高的，因此我们需要快速定位关键代码段，而丰富的编程经验有助于我们做到这一点。拓宽自己的编程知识面、积累编程经验跟积累逆向经验同样重要。丰富的编程经验能让我们事半功倍。

另外在进行代码还原时我们最好能用原始程序的实现语言进行还原，这是为了避免麻烦，因为现代的编程语言通常都有自己的Framework，提供各种各样的类库，他们功能各异，互不兼容，如一个VCL的程序我们硬要用MFC对其还原，VCL的某一非常复杂的机制或功能在MFC中可能没有，而自己如果在MFC中实现的话工作量是相当庞大的，这时的结果可能就会是事倍功半了。因此我建议在代码还原时最好使用原语言进行，原来是C的就用C，原来是Delphi的就用Delphi，原来是Python的就用Python。。。

逆向工程时常具有“四两拔千斤”的功效，我也不太会表述，等你有足够的实践之后大概才能体会到，这个就只能意会不能言传了:P。

学习资源
上面说了那么多，是时候介绍一些学习资源的时候了，这些资源都是比较基本的，可说是学习阶段必备的，希望在大家学习和实践的过程中能帮到大家。

书
《Windows程序设计(第５版)》 – Windows平台下程序设计的经验教程。URL - http://www.china-pub.com/2382

《Windows核心编程》 – 又是一本经验的书，可以帮助你把Windows下的编程技术提升一个层次。 URL - http://www.china-pub.com/131

《深入解析Windows操作系统(第４版)》 – 这本书是关于Windows内部机理核心的权威之作。这本书对提高你的逆向水平也是大大有帮助的，当然，前提是在你看懂之后。 URL - http://www.china-pub.com/32775

《加密与解密》 – 不错的入门书籍，快出第三版了，http://www.china-pub.com/12210

网站
www.rootkit.com – 很多关于系统安全，系统内核方面的资料和代码
www.codeproject.com – 很多程序设计的代码和文章
msdn.microsoft.com – 包含最新的微软平台下的开发资料


论坛
bbs.pediy.com - 看雪论坛，国内最大的加解密论坛，已经向软件安全转型，上面汇集了国内大批高手。
www.unpack.cn - 一蓑烟雨，国内最专业的脱壳论坛，关注面也很广，除了脱壳外还有汉化、软件安全、木马病毒、编程、游戏、文学、音乐、艺术等，上面的高手也不少。
bbs.driverdevelop.com - 驱网论坛，驱动开发的论坛，高手不少，但是发言的比较少，可以去逛逛。
forum.sysinternals.com – Sysinternals，很多系统方面的资料，不少高手在上面发言。
www.debugman.com - 第8个男人，在下创建的论坛，旨在为志趣相投的朋友提供一个交流平台，目前关注方向为程序设计、逆向、代码安全和系统底层等。

工具
这里列出的工具只是很少一部分，对工具的选用，我的观点是哪个随手就用哪个。
OllyDbg – 调试器，ring3下的调试器，上手快，功能强大，有很多插件。
SoftIce – 调试器，ring0级调试器，当然ring3程序也是可以调的，功能强大，但已经不更新了，不支持vista等较新的操作系统。
WinDbg – 调试器，MS自家的调试器，就不多介绍了，两个字 - 推荐。
IDA – 反汇编器，最强大的静态反汇编分析工具。
LordPE – PE工具，可编辑PE文件等。
PEiD – PE工具，可识别PE文件的格式信息，如用什么编译器编译的，是不是被什么壳处理过了等。
FileMon – 文件监视工具，可监视系统或程序对哪些文件做了什么操作。
RegMon – 注册表监视工具，可监视系统或程序对哪些注册表项做了什么操作。
SSM – HIPS，这个工具有时候可以给逆向带来很多方便，如抓取某个文件，禁止访问某个注册表项，盒灰分析等。