Comments 5
Любопытно, однако, на мой взгляд, не хватает объяснений, что конкретно мы видим в «разобранных» экзешниках, даже хедеры систем сборки и ОС не раскрыты. Также не очень понятно, почему bin-файл может быть один, а может быть несколько и как они тогда друг с другом соотносятся. Также не очень понятно, почему функциональности использованных программ недостаточно . То есть статья сводится к тому, что «да, так можно», в то время как мне бы хотелось чуть больше подробностей.
Просто я решил статью сильно не перегружать, так как если бы я в статье написал всё содержимое PE заголовка, то это заняло бы очень много строк.
bin-файлы (я так понял вы про Dumps/sections), которые извлекаются из exe-файла - это разделение программы на секции. То есть, как "главы в книге".
Например:
.text - исполняемый код. То, что извлекает Capstone (дизассемблер).
.data - глобальные переменные программы
.rsrc - ресурсы и сжатые данные
Связка в виде DeNuitkanizator и HxD - это чисто статический анализ. DeNuitkanizator как раз помогает извлечь полезные данные, которые помогают в реверсе. Однако рекомендуется использовать как минимум отладчики (x64dbg в пример).
В любом случае спасибо вам за комментарий :). Но согласен, хедерам стоило уделить больше внимания.
А зачем, образно говоря, пользоваться палкой-копалкой, если можено использовать экскаватор? IDA и гидра анализируют логику и декомпилируют в действительно сишный код, который, хоть и с допиливанием, можно где-то использовать. А с этим что делать и кому это вообще нужно? Это же по сути аналог ассемблера с си-подобным синтаксисом, к тому же еще и не полный - даже call не может распарсить.
Да и такую инфу как PE headers, энтропию и список строк умел показывать ещё древнючий PEiD со своими плагинами... (сейчас лучше использовать Exeinfo PE)
Справедливо. Да и мой инструмент никогда не заменят Ghidra и IDA (я писал в конце, что лучше комбинировать - и я не писал, что это замена), но как инструмент быстрой разведки может подойти.
Перевод из ассемблера в си синтаксис нужен для понимания логики. Пока что он не всё парсит - но будет добавляться больше функционала.
Как разобрать .exe всего двумя инструментами: практический разбор с DeNuitkanizator и HxD