바이너리 분석

1. 바이너리 분석 환경 구축

1-1_분석용 도구

1) 리눅스 명령어

- file

ex) $file test8

- readelf

ex) $readelf -a test8

-a --all               Equivalent to: -h -l -S -s -r -d -V -A -I

  -h --file-header       Display the ELF file header

  -l --program-headers   Display the program headers

     --segments          An alias for --program-headers

  -S --section-headers   Display the sections' header

     --sections          An alias for --section-headers

  -g --section-groups    Display the section groups

  -t --section-details   Display the section details

  -e --headers           Equivalent to: -h -l -S

  -s --syms              Display the symbol table

     --symbols           An alias for --syms

  --dyn-syms             Display the dynamic symbol table

  -n --notes             Display the core notes (if present)

  -r --relocs            Display the relocations (if present)

  -u --unwind            Display the unwind info (if present)

  -d --dynamic           Display the dynamic section (if present)

  -V --version-info      Display the version sections (if present)

  -A --arch-specific     Display architecture specific information (if any)

  -c --archive-index     Display the symbol/file index in an archive

  -D --use-dynamic       Use the dynamic section info when displaying symbols

  -x --hex-dump=<number|name>

                         Dump the contents of section <number|name> as bytes

  -p --string-dump=<number|name>

                         Dump the contents of section <number|name> as strings

  -R --relocated-dump=<number|name>

                         Dump the contents of section <number|name> as relocated bytes

  -w[lLiaprmfFsoRt] or

  --debug-dump[=rawline,=decodedline,=info,=abbrev,=pubnames,=aranges,=macro,=frames,

               =frames-interp,=str,=loc,=Ranges,=pubtypes,

               =gdb_index,=trace_info,=trace_abbrev,=trace_aranges,

               =addr,=cu_index]

                         Display the contents of DWARF2 debug sections

  --dwarf-depth=N        Do not display DIEs at depth N or greater

  --dwarf-start=N        Display DIEs starting with N, at the same depth

                         or deeper

  -I --histogram         Display histogram of bucket list lengths

  -W --wide              Allow output width to exceed 80 characters

  @<file>                Read options from <file>

  -H --help              Display this information

  -v --version           Display the version number of readelf

- strings : 파일 안에 들어 있는 내용 중 표시할 수 있는 문자열을 추출해 표시하는 명령어

- grep : 실행한 결과 또는 파일 안의 내용에서 찾고 싶은 문자열 또는 문자열 패턴을 찾아내는 명령어

     일치하는 패턴이나 문자열이 있으면 해당 열 추출

- unzip/tar/gunzip/xz : 압축 해제

확장자	명령어
.zip	unzip file.zip
.tar.gz	tar zxvf file.tar.gz
.gz	gzip -d file.gz / gunzip file.gz
.xz	xz -d file.xz

1-2_바이너리 분석 기초

1) radare2

-radiff2 : 바이너리 차분 추출 도구

-rabin2 : readelf-like 바이너리의 정보 추출 도구

-rafind2 : 바이트 패턴 검색 도구

-rahash2 : 해시 계산 도구

-rarun2 : 프로그램의 실행 환경을 지정해 실행할 수 있는 도구

-rasm2 : 어셈블러 / 디스어셈블러

-rax2 : 변수 형태 변환 도구

-radare2 : 위 도구들의 종합

2) iBored : 윈도우,리눅스,OSX에서 모두 사용할 수 있는 GUI 형태의 바이너리 에디터

1-3_환경 구축

프로그램	명령어
strace	sudo apt-get install strace
ltrace	sudo apt-get install ltrace
radare2	git clone http://github.com/radare/radare2  sudo radare2/sys/install.sh
ghex	sudo apt-get install ghex