June 12, 2022

Reverse-Tips

OALABS系列小教程，病毒分析的little tips!（还没搞懂名字是什么意思

How to Identify Dynamic Imports In Malware

一个函数指向的地方是个空s的地方，那么可能以动态解析的形式填入

当调用这个地址时，这个地址会已经填入了函数地址

我们通过交叉引用查看这个地方的引用

这里的地址是以导入地址表的方式动态解析
这个地址可能只是一个大表中的一个条目（可能会被不通函数迭代解析

Setup IDA Pro Type Librares For Windows Malware Analysis

识别Windows的恶意软件，里面一般会有一些WIN API，我们可以直接导入类型库，方便查看这些类型库，去解析代码

当我们不知道是什么，可以首选这个，不用太接近到底是什么

How to view disassembly and pseudocode windows side-by-side in IDA Pro

同时查看反汇编和汇编窗口的命令

方便查看

C++ Malware With IDA Pro

主要讨论的是这个，关于C++类和对象的关系，在IDA里会丢失类和对象的概念

必须要先实例化类，才能在内存中创建变量

在源代码里没什么问题，但IDA反编译之后不知道这是个结构体，只知道这是个指针

显然易见的流程图

于是要在IDA修复这个对象，先重置解析指针

然后创建结构体

这是根据内存自动创建的，不一定是对的，不过先去尝试到底是多大的字节什么类型变量，来逐步确定结构体中的变量

在这可以看自己创建的结构体，之前做的login是去本地结构库（shift + F9）去添加结构，这里是我们自己创建的

Debugging a DLL Export

主要就是记录如何调试dll，首先要开始dll入口，这样就会停在加载dll的入口，后面通过查找关键函数的地址，直接改eip跳过去，然后提取数据即可

当我们调试程序时，调试器停了PE入口点，诗人困惑，然而此代码为样板代码，是作为逆向分析的首要目标

主要讲解的是在start函数的意思，注意这是mscv Visual Studio编译的二进制文件，这就是mscv的标签，样板代码

这边的cookie检查，里面没有很多有意思的代码，对于一个文件的逆向工程没有什么关系，看了官网文档，有点像canary保护

(可以通过里面的一些常量来确认这是_security_init_cookie)

(32位的cookie和64位的cookie有些不一样)

_scrt_common_main_seh

然后就是结构化异常处理程序

就是额外的一些异常，如果你的程序出现一些错误抛出异常，在该异常处理链中添加一些额外的信息，这对再次调试很有用

当jmp到这seh时，会有一长串代码，在去掉符号表的情况下很难理解

然而在这里面就是调用main函数的地方，而32位和64位的main函数原型都是固有的

Bypassing BlackMatter Anti-Debug

先记录个简单小技巧，关于x64dbg的快捷键G

在BlackMatter中调用了此API，我们只要F7跟一下就能找到，不过要装个插件silehide（先复现Jump去了

NtSetInformationThread() Anti Debug

参考此文章

该API会对调试器隐藏线程，当隐藏后，它将继续运行，但调试器不会收到任何该线程的相关事件

该线程可以执行反调试检查，例如代码校验和调试标志验证等

但是，如果隐藏线程中有断点，或者我们对调试器隐藏了主线程，那么进程就会崩溃，调试器就会卡住

（出个题不错嘿嘿，还想自己写Hook题）

#define NtCurrentThread ((HANDLE)-2)

bool AntiDebug()
{
    NTSTATUS status = ntdll::NtSetInformationThread(
        NtCurrentThread, 
        ntdll::THREAD_INFORMATION_CLASS::ThreadHideFromDebugger, 
        NULL, 
        0);
    return status >= 0;
}