如何用ubuntu进行逆向工程分析

在 Ubuntu 上进行逆向工程分析

一 环境准备与合规

• 建议使用长期支持版本如 Ubuntu 20.04/22.04 LTS，在 VirtualBox/VMware 中创建专用分析虚拟机，并做快照以便回滚。
• 安装基础编译与调试工具：gcc、gdb、binutils、strace、ltrace、objdump、readelf、file、strings。
• 安装逆向框架与网络分析工具：radare2、Ghidra、Wireshark、tcpdump。
• 合规提示：仅对你拥有或获得授权的目标进行分析；避免在生产主机或联网环境中运行未知样本；对可能有害的二进制使用隔离环境（虚拟机/离线）。

二 静态分析流程

• 识别与信息收集
  • 确认文件类型与架构：file your_binary
  • 提取可打印字符串：strings -n 6 your_binary | less
  • 查看节区与程序头：readelf -h/-S your_binary
  • 快速哈希用于溯源：sha256sum your_binary
• 反汇编与交叉引用
  • 反汇编代码段：objdump -d your_binary
  • 指定语法为 Intel：objdump -d -M intel your_binary
  • 导出汇编到文件：objdump -d your_binary > rev.s
  • 使用 radare2：r2 your_binary，在交互中可用 aaa（分析）、pdf @ main（反汇编函数）、iz（查看字符串）、iS（节区）、afl（函数列表）等命令。
• 高级静态分析
  • 使用 Ghidra 进行反编译、函数重命名与类型推断，结合交叉引用图理解调用关系与数据流。

三 动态分析与调试

• 系统调用与库调用跟踪
  • 跟踪系统调用：strace -f ./your_binary
  • 跟踪库调用：ltrace -f ./your_binary
• 交互式调试
  • 启动调试：gdb ./your_binary
  • 常用命令：break main、run、disassemble main、stepi/nexti、info registers、x/10gx $rsp、continue
• 网络行为观察
  • 本机抓包：sudo tcpdump -i any -w capture.pcap
  • 图形化分析：wireshark capture.pcap
• 提示：动态分析时优先在隔离网络下运行，必要时使用防火墙规则限制外联（如 iptables）。

四 物联网固件与嵌入式场景

• 镜像分析
  • 识别与提取：binwalk firmware.bin
  • 进一步解包与修改：firmware-mod-kit（FMK）
• 仿真与漏洞验证
  • 自动化仿真与信息采集：Firmware Analysis Toolkit（FAT，基于 Firmadyne）
  • 专用发行版：AttifyOS（预装常用固件分析与仿真工具）
• 典型流程：binwalk 确认文件系统 → FMK 解包 → 在 FAT/AttifyOS 中仿真启动 → 动态调试与漏洞验证。

五 Android 应用逆向入门

• 工具链
  • apktool（资源与清单解码/回编）
  • dex2jar（将 classes.dex 转为 JAR）
  • JD-GUI（查看近似 Java 源码）
• 基本步骤
  • 解码资源与清单：apktool d app.apk -o out
  • 反编译字节码：d2j-dex2jar.sh classes.dex（生成 classes-dex2jar.jar）
  • 查看源码：jd-gui classes-dex2jar.jar
• 提示：APK 只是 ZIP，直接解压得到的 AndroidManifest.xml 是二进制格式，需 apktool 正确解码后才能阅读与修改。