Upload
gangseok-lee
View
389
Download
8
Embed Size (px)
DESCRIPTION
2014 CodeEngn Conference 10 IDA 분석 정보를 공유합시다! 분석 할때 한명이 혼자서 모든 것을 다 하던 시대는 난독화되거나 대용량 바이너리에 의해 위기를 맞이하고 있다. 이를 위해 여러명의 분석가가 협업할 수 있는 솔루션을 제시하고 향후 코드엔진의 주요 서비스로 자리잡기 위한 방법을 이야기 하고자 한다. http://codeengn.com/conference/10 http://codeengn.com/conference/archive
Citation preview
너도 나도 다같이 리버싱!!!
IDA 분석 정보를 공유합시다!
oroiwww.CodeEngn.com2014 CodeEngn Conference 10
Why?
Ø 더럽게 많은 악성코드 !!!Ø 더럽게 어려운 바이너리 !!!Ø 혼자 못해먹겠다 싶을 때 !!!
Why?
Ø 분석하다가 퇴근하고 싶은데 !!!Ø 같은 팀이 다 퇴근해서 인수 인계 안될 때 !!!Ø 나도 퇴근 좀 해보자 !!!
팀원 감시??
Concept
Function
Comment
Code
IDB분석가 김씨
IDA Pro
IDB
IDB
ü 파일 주고 가라고 !!!ü 버전 안 맞아 !!!ü IDB 파일 너무 커!!!
IDB분석가 김씨
IDA Pro
분석가 조씨
분석가 조씨
ü 필요한 함수만 ^-^ü 버전은 암거나 ^-^ü 업데이트만 해줘 ^-^
IDA PRO???
IDA PRO Plugins
CodeShare
ü GET.PHP : 분석 정보 추출
IDB분석가 김씨
IDA ProIDA Python
ü Alt + F7 : Script Loadü CodeShare.py
- GET or SET Reverse Information
RCEHUB
ü SET.PHP : 분석 정보 저장
ü MOD.PHP : WEB 작업용!
[Ctrl+4]This function : DB -> IDB[Ctrl+5]This function : IDB -> DB[Ctrl+6]This function : IDB(raw) -> DB[Ctrl+7]ALL function : DB -> IDB[Ctrl+8]ALL function : IDB -> DB[Ctrl+9]ALL function : IDB(raw) -> DB
Function
Comment
Code
CodeShare
[Ctrl+4]This function : DB -> IDB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5 추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü FunctionName
ü Commentü Offset
ü FunctionMD5
CodeShare
[Ctrl+5]This function : IDB -> DB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5, 이름, 주석 정보를 추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü Function MD5ü Function Nameü Commentü Offset
CodeShare
[Ctrl+6]This function : IDB(raw) -> DB
ü 마우스 포인터가 클릭한 위치의함수 한 개에 대한 MD5, 이름, 디스어셈블 코드, 주석 정보를추출
ü 함수 A
ü 함수 B Function
Comment
Code
ü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
CodeShare
[Ctrl+7]ALL function : DB -> IDB[Ctrl+8]ALL function : IDB -> DB[Ctrl+9]ALL function : IDB(raw) -> DB
ü 함수 A
ü 함수 B
Function
Comment
Codeü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
ü Function MD5ü Function Nameü Disassemble Codeü Commentü Offset
RAW ???
웹에서분석 수행
함수MD5
함수이름
팀원 감시용으로쓰지마세요 ㅠ.ㅠ
DEMO
IDA Pro 5.0 이상