Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
PLAY & PLAY & PLAY with Ghidra Debugger
Search
mopi
August 10, 2021
Technology
0
250
PLAY & PLAY & PLAY with Ghidra Debugger
【セキュリティ・キャンプ全国大会2021オンライン】のLT大会で使用した資料です。
mopi
August 10, 2021
Tweet
Share
More Decks by mopi
See All by mopi
Discordを乗っ取るマルウェアの解析
mopisec
0
85
Analyzing C# (.NET) Malware
mopisec
1
410
DetExploit - Windows用OSS脆弱性スキャナー (未踏ジュニア最終成果報告会)
mopisec
0
110
Other Decks in Technology
See All in Technology
LLM + RAG を使った SORACOM Support Bot の裏側の歴史
soracom
PRO
1
640
統計的学習理論読み Chapter 1
kmatsui
3
930
こんなに簡単!AWSマルチアカウント
takuya_terada
0
110
オブジェクトのおしゃべり大失敗 メッセージングアンチパターン集 / messaging anti-pattern collection
ytake
0
340
Cloud Friendly(?) Jenkins. How we failed to make Jenkins cloud native and what we learned?
onenashev
PRO
0
110
.NETの非同期戦略とUnityとの相互運用
neuecc
2
2.4k
「XX試験の環境作ってよ」と言われた時によく使うAWSのソリューションについて
bun913
0
120
複数の LLM モデルを扱う上で直面した辛みまとめ
kazuyaseki
1
250
単回帰分析について数式を追いながら実装してみた
kentaitakura
0
500
プッシュ型子育てサービスを、先行プロジェクト実施自治体において開始します
govtechtokyo
0
280
技術広報経験0のEMがエンジニアブランディングをはじめてみた
coconala_engineer
1
140
私のRSpecの書き方 / How I write RSpec
tmtms
4
840
Featured
See All Featured
Bash Introduction
62gerente
604
210k
How to name files
jennybc
62
92k
Optimizing for Happiness
mojombo
369
69k
A Philosophy of Restraint
colly
195
15k
Git: the NoSQL Database
bkeepers
PRO
421
63k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
58
14k
The Mythical Team-Month
searls
214
42k
Pencils Down: Stop Designing & Start Developing
hursman
115
11k
4 Signs Your Business is Dying
shpigford
174
21k
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
226
16k
Designing for Performance
lara
601
67k
Facilitating Awesome Meetings
lara
39
5.5k
Transcript
セキュリティ・キャンプ 全国大会 2021 2021/08/09 : LT大会 : mopi (@mopisec) PLAY
& PLAY & PLAY with
• mopi (a.k.a. mopisec) • 情報セキュリティ • DFIR • マルウェア解析
• セキュリティ・キャンプ • 全国大会 2018 修了生 • ネクストキャンプ, GCCなど… • More: https://mopisec.net twitter.com/mopisec
• Software Reverse Engineering Suite (公式サイトより) • Check: https://ghidra-sre.org •
NSAによって開発されたプログラムのリバースエンジニア リング(静的解析)に特化したツール(群) • CTFのReversing問からマルウェア解析まで全世界で多くの人に 使われている優秀なツール • 2021/06/24に新しいメジャーバージョンであるv10.0が 正式リリースされた
• 新しいデバッガーの登場 • コンパイラ仕様(挙動)をユーザーが定義できる機能 • 実行時型情報からクラス情報を復元する機能 • PDBファイルの適用・管理のUXが改善された • 解析オプションの管理が簡単になった
• などなど…… • 詳しくはGitHub上の “What’s New” から確認!!!
• 新しいデバッガーの登場 • コンパイラ仕様(挙動)をユーザーが定義できる機能 • 実行時型情報からクラス情報を復元する機能 • PDBファイルの適用・管理のUXが改善された • 解析オプションの管理が簡単になった
• などなど…… • 詳しくはGitHub上の “What’s New” から確認!!!
• 数多くのユーザーが求めていた機能 • Does GHIDRA have a debugger? https://security.stackexchange.com/questions/204906/ does-ghidra-have-a-debugger
• Debugger? https://www.reddit.com/r/ghidra/comments/eog9wf/debu gger/
• プログラムを実行しながら解析することができる • 動的解析 • 逆アセンブルしたコード、レジスタ、メモリ、スタックな どを視ながら解析できるため、プログラムがどんな挙動を しているか把握しやすい • gdb,
OllyDbg, Immunity Debuggerなど • CTFでPwn,Revカテゴリの問題を解いている人にとっては “gdb”や”Radare2”が身近かもしれませんね
• Windows10を導入した仮想マシンにGhidra v10.0 PUBLICを 導入し、適当に探してきたcrackmeを解析してみる https://crackmes.one/crackme/5fe8258333c5d4264e590114
• 挙動は一般的なcrackmeと同じ • ユーザーからの入力を受け付けて、入力が予めプログラム 内で定義されたパスワードと一致すれば終了し、そうでな ければ “wrong pass!!” と出力する
• 適当なProjectを作成し、crackmeの実行ファイルをイン ポートし、Debuggerボタン (虫のアイコン)をクリック Debuggerボタン
None
None
デコンパイル 結果 ブレークポイ ント モジュール 一覧 など 実行ファイルに 関する情報 スタックの状態を表示
スレッドの一覧を表示 デバッガーの 状態を表示 Symbol Tree など
• Main関数までプログラムを実行して
• パスワードとユーザーからの入力を比較している 場所にブレークポイントを設置する
• ブレークポイントが作動した後、メモリ内を検索 しパスワードらしきデータを探す • これで “password123” こそが本crackmeの答えで あることがわかった
• 前提: 30分程度しか触っていない (重要) • 現時点では他のDebuggerを差し置いて使用する理 由はないと感じた (v10.0 PUBLIC時点, 私の感想)
• とても不安定 (Ghidraのメニューやボタンが解析中に消える) • インターフェースが無駄に複雑 (デフォルト状態. カスタマイズすれば改善可能)
• ただ、逆アセンブルではなくデコンパイルされた コードを参照しながらデバッグが可能だったのは とても面白かった • IDAも便利だがx64しか Free版はデコンパイル できないので…… • 今後に期待!!!