Любопытный инженер, автор курсов, разработчик
Мы остановились на том, что консольных утилит недостаточно для понимания алгоритма. Чтобы заглянуть внутрь, нам понадобится Ghidra – бесплатный инструмент от АНБ, который умеет превращать машинный код в псевдокод на C/C++. Но с чего начать анализ, если бинарник зачищен (stripped), и в списке функций нет привычного main?
Несколько дней назад мне написал менеджер Степика и сказал, что курс перспективный, но есть над чем поработать. Я сел, выгрузил все комментарии, статистику неправильных ответов и начал разбирать каждый проблемный шаг.
Что изменилось:
В прошлой серии мы осмотрели бинарник снаружи: узнали архитектуру через file, вытащили строки через strings и даже запустили программу в изолированной среде. Мы увидели ее поведение, но так и не поняли алгоритм. Консольные утилиты хороши для первичного осмотра, но они не ответят на главные вопросы: почему программа принимает example, но отвергает t…
Вы нашли странный бинарник в Linux. Запускаете его, а он вместо пароля просит строку и насмехается над вами: «Bro, what are you trying to do?». Знакомая ситуация для любого, кто хоть раз касался реверс-инжиниринга. Это первая серия большого цикла по гибридному анализу crackme на архитектуре x86-64. Начнем с самого базового: первичного осмотра файла…
Когда программа вызывает библиотечную функцию (например, sleep) в Linux, программа понятия не имеет, где эта функция лежит в памяти. ASLR каждый раз меняет адрес libc. Как она её находит?
Есть темы, о которых на русском почти не пишут. Анализ бинарных файлов в Linux – одна из них.
«Наша служба и опасна и трудна, и на первый взгляд как будто не видна…» Эту песню когда-то пели про милицию. И про сисадминов тоже можно было бы спеть, если бы кто-нибудь замечал их до того, как всё сломалось.
Системные журналы (логи) – это «чёрный ящик» вашего сервера. Упал сайт, тормозит база данных, кто-то ломится по SSH? Ответы здесь. Но дьявол, как всегда, в деталях. Мир логирования в Linux многообразен: от архаичных, но всё ещё живых текстовых файлов до современных бинарных журналов. Новичок, открывший папку /var/log/, может впасть в ступор. Давайт…
На днях задал в закрытом профильном чате три вопроса специалистам по расследованию инцидентов (в англоязычном мире это называют DFIR – Digital Forensics and Incident Response):