Reverse-Engineering von C-Programmen

Jedes C-Programm wird in Maschinencode umgewandelt, wenn diese Binärdatei verteilt wird. Da der Befehlssatz eines Computers gut bekannt ist, ist es möglich, das ursprüngliche C-Programm zurückzubekommen?

Sie können nie zu genau derselben Quelle zurückkehren, da es keine Metadaten darüber gibt, die mit dem kompilierten Code gespeichert sind.

Aber Sie können Code aus dem Assembler-Code neu erstellen.

Sehen Sie sich dieses Buch an, wenn Sie an diesen Dingen interessiert sind: Reversing: Secrets of Reverse Engineering.

Bearbeiten

Einige Compiler-101 hier, wenn Sie einen Compiler mit einem anderen Wort und nicht so technisch wie “Compiler” definieren würden, was wäre das?

Antworten: Übersetzer

Ein Compiler übersetzt die Syntax / Phrasen, die Sie in eine andere Sprache geschrieben haben, ein C-Compiler übersetzt in Assembly oder sogar Maschinencode. C#-Code wird in IL übersetzt und so weiter.

Die ausführbare Datei, die Sie haben, ist nur eine Übersetzung Ihres ursprünglichen Textes / Ihrer ursprünglichen Syntax, und wenn Sie sie “umkehren” und somit “zurückübersetzen” möchten, erhalten Sie höchstwahrscheinlich nicht die gleiche Struktur wie zu Beginn.

Ein realeres Beispiel wäre, wenn Sie vom Englischen ins Deutsche und vom Deutschen zurück ins Englische übersetzen, wird die Satzstruktur höchstwahrscheinlich anders sein, andere Wörter könnten verwendet werden, aber die Bedeutung, der Kontext, wird sich höchstwahrscheinlich nicht geändert haben.

Dasselbe gilt für einen Compiler/Übersetzer, wenn Sie von C zu ASM wechseln, die Logik ist dieselbe, es ist nur eine andere Art, sie zu lesen (und natürlich ist sie optimiert).

Es hängt davon ab, was Sie unter Original-C-Programm verstehen. Dinge wie lokale Variablennamen, Kommentare usw. sind nicht in der Binärdatei enthalten, daher gibt es keine Möglichkeit, genau denselben Quellcode zu erhalten, der zum Erstellen der Binärdatei verwendet wurde. Werkzeuge wie z IDA Pro könnte Ihnen helfen, eine Binärdatei zu disassemblieren.

Ich würde die Konversionsrate eines wirklich erfahrenen Hackers auf etwa 1 Kilobyte Maschinencode pro Tag schätzen. Bei üblichen westlichen Gehältern beläuft sich der Preis beispielsweise für eine ausführbare 100-KB-Datei auf etwa 25.000 US-Dollar. Nachdem Sie so viel Geld ausgegeben haben, ist alles, was Sie gewinnen, ein Stück C-Code, der genau das tut, was Ihrer tut, abzüglich der Vorteile von Kommentaren und so weiter. Es ist in keiner Weise mit Ihrer Version konkurrenzfähig, Sie können Updates und Verbesserungen viel schneller bereitstellen. Das Reverse Engineering dieser Updates ist ebenfalls kein trivialer Aufwand.

Wenn Sie dieser Preis nicht beeindruckt, können Sie die Konvertierungskosten beliebig erhöhen, indem Sie mehr Code hinzufügen. Denken Sie nur daran, dass erfahrene Hacker, die große Programme wie dieses anpacken können, etwas viel Besseres zu tun haben. Sie schreiben ihren eigenen Code.

Eine der besten Arbeiten zu diesem Thema, die ich kenne, ist:

Schweine aus Wurst? Reengineering von Assembler zu C via FermaT.

Der Anspruch ist, dass Sie ein vernünftiges C-Programm zurückbekommen, auch wenn der ursprüngliche asm-Code nicht in C geschrieben wurde! Es gelten viele Vorbehalte.

Das Hex-Strahlen Decompiler (Erweiterung zu IDA Pro) kann genau das tun. Es ist noch ziemlich neu und in Vorbereitung, aber sehr vielversprechend. Es ist etwas gewöhnungsbedürftig, kann aber möglicherweise den Umkehrvorgang beschleunigen. Es ist keine “Wunderwaffe” – kein C-Decompiler ist es, aber es ist eine große Bereicherung.

Der gebräuchliche Name für dieses Verfahren lautet „Hamburger wieder in Kühe verwandeln“. Es ist möglich, Binärcode in ein funktional äquivalentes C-Programm zurückzuentwickeln, aber ob dieser C-Code eine große Ähnlichkeit mit dem Original hat, ist eine offene Frage.

Die Arbeit an Werkzeugen, die dies tun, ist eine Forschungstätigkeit. Das heißt, es ist möglich, in den einfachen Fällen etwas zu bekommen (Sie werden lokale Variablennamen nicht wiederherstellen, es sei denn, es sind beispielsweise Debug-Symbole vorhanden). Bei großen Programmen oder wenn der Programmierer beschlossen hat, es schwierig zu machen, ist es in der Praxis fast unmöglich.