逆向分析工具介绍

2.1逆向分析工具介绍在二进制代码分析中，必须要用到逆向分析的工具，这些软件工具一般可分为2.1系统监控工具，2.2反汇编器，2.3调试器2.4和反编译器。

系统监控工具用来监控，研究以及剖析待逆向的程序，这是由于程序与外部世界的通信都要经过操作系统，系统监控工具可以监控网络活动，文件访问，注册表访问等等一系列的软件运行活动。反汇编器足以程序的可执行二进制代码为输入，生成包含整个或部分程序的汇编代码文本文件的程序。

反汇编是一个与处理器相关的过程，反汇编器一般支持多种CPU絮构，反汇编器的工作过程比较简单，但优秀的反汇编器能更加准确识别二进制代码，提高逆向分析效率。

调试器是一种程序，它允许软件开发人员在程序运行的同时观察程序。它的两个最基本特征是：断点设置和代码跟踪。断点允许用户选择程序中任意位置的某行代码，一旦程序运行在这一行，它就指示调试器暂停程序的运行，并显示程序的当前状态。代码跟踪允许用户在程序运行时跟踪它的执行，跟踪意味着程序每执行一条汇编代码然后暂停，并允许用户观察甚至改变程序的状态。通过断点设置和代码跟踪，用户可以在程序执行到有问题的代码的同时仔细地观察代码，并确定问韪的所在。

反编译器的功能要比反汇编器更进一步，反编泽器接受可执行的二进制文件，并试图从中生成可读性好的高级程序语言代码。其思想是尝试逆向编译的过程，以获得最初的源代码文件或接近最初源代码的文件 。然而对于人多数C，C++开发的程序而言，真正恢复初始源文件是不太现实的。

我们在逆向分析中运用了大量的辅助软件，这砦软件不仅仅在对FreeGate软件的分析中有重要用途，同时也可以将其扩展，在建立一个通用分析方法中扮演不可或缺的角色。我们将分析工具分为五大类，以下工具均为运行在Windows下的软件。(1)反汇编工具反汇编工具是逆向分析中，最重要的工具，它不仅仅能够将可执行文件的．二进制代码翻泽成汇编代码，同时还可以根据软件内部的互相调用关系分析软件的结构，识别

软件的函数调用。反汇编工具在逆向分析中作为前期的处理者，能够极大的减少人工工作。我们主要使用的反汇编工具有：

Ollydbg l.10（自由软件，功能强大，结合静态反汇编与动态调试的分析器）Win32Dasml （自由软件，静态分析工具）IDA pr0 5.0 （商业软件，最强大的静态反汇编工具）(2)动态调试工具动态调试工具是人工逆向分析中所用到的主要工具，在经过反汇编工具的处理之后，我们可以获得人量的软件信息，但是软件的行为和许多细节，必须在运行过程中才能寻找出来，因此我们需要结合动态调试上具进行分析。我们主要使用的动态调试工具有：Ollydbg l.10（自由软件，功能强大，结合静态反汇编与动态调试的分析器）Windbg 6.7【8】（免费软件，Microsoft公司的内核级调试工具）

(3)软件信息识别和修改工具软件信息识别和修改工具，是软件信息分析的重要辅助工具，通过这些工具灼帮助我们能够方便的获取软件的内部资源信息，问时还可以修改一砦细节，方便调试。我们常州的软件信息识别和修改工具有：Hedit l.0（共享软件，16进制编辑器）PEiD 0.94（免费较件，软件信息和编写语言分析工具）(4)系统监视工具作为黑箱分析的重要辅助手段，对于软件的各方面进行监视的工具是必不可少的，我们将其分成网络监视，进程监视，文件监视和注册表监视网个方面：Wireshark l.0 （免费软件，网络监视和包分析类软件）Outpost Firewall 4.01 （共享软件，使用hook技术的Windows防火墙）ProcExp 10.21 （免费软件，强人的进程分析软件）FileMon 7.04 （免费软件，强大的文件读写监视软件）RegMon 7.04 （免费软件，强大的注册表读写监视软件）(5)专用反保护工具LordPE （Win32 PE文件修改，转存工具）ImportREC （Win32 PE文件结构修复软件）AIl versions ASPack unpacker （免费软件，ASPack压缩壳脱壳工具）UnPECompact2.02[19]（免费软件，PECompact压缩壳脱壳工具）UPX 3.0[20]（自由软件，UPX压缩壳加壳和脱壳工具）

参考:FG软件的逆向分析技术研究.doc

Powered by Zoundry