利用Ghidra逆向解析Go二进制程序
发布时间：2022-08-04 11:34:02 所属栏目：安全 来源：互联网
导读：对于恶意软件开发者来说，使用Go语言是一个诱人的选择，因为它支持交叉编译，也就是说，可以把Go语言编写的代码编译成在不同操作系统上运行的二进制文件。这样的话，就能够让攻击者的生活变得更加轻松，因为他们不必为每个目标环境开发和维护不同的代码库了
|
对于恶意软件开发者来说，使用Go语言是一个诱人的选择，因为它支持交叉编译，也就是说，可以把Go语言编写的代码编译成在不同操作系统上运行的二进制文件。这样的话，就能够让攻击者的生活变得更加轻松，因为他们不必为每个目标环境开发和维护不同的代码库了，岂不快哉。 在本文中，我将讨论逆向工程师在分析Go二进制代码的过程中所面临的两个难题，以及相应的解决方案。 Ghidra是美国国家安全局开发的一个开源逆向分析工具，我们经常使用它来进行恶意软件的静态分析。我们可以为Ghidra创建自定义脚本和插件，以按需实现特定的功能。在这里，我们将利用Ghidra的这个特性，通过创建自定义的脚本来帮助我们分析Go二进制程序。 本文讨论的主题是在Hacktivity2020在线会议上公布的，相关的幻灯片和其他材料可以在我们的Github存储库中下载。 剥离型二进制代码中丢失的函数名 实际上，我们面对的第一个问题并不是Go二进制文件所特有的，而是所有剥离型二进制代码(stripped binaries，译者注：就是去掉调试信息后的二进制代码)所共同面对的一个问题。实际上，编译后的可执行文件是可以包含调试符号的，这能让调试和分析工作变得更加容易。当分析人员逆向分析带有调试信息的二进制代码时，他们不仅可以看到内存地址，还可以看到函数和变量的名称。然而，恶意软件作者通常在编译代码时剥离这些调试信息，从而创建所谓的剥离型二进制代码。他们这样做的目的有两个，一是为了减小文件的大小，二是增加逆向分析的难度。在使用剥离型二进制文件时，分析人员无法依赖函数名来帮助他们在代码中找到自己感兴趣的函数。在处理使用静态链接的Go二进制文件(其中包含所有必需的库)时，逆向分析的过程会显著减慢。  （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号