逆向分析C++程序：从手工到自动化

"逆向C++技术的详细指南，包括手工分析和自动化工具的介绍" 本文是一篇关于逆向工程C++程序的专业文章，由Paul Vincent Sabanal和Mark Vincent Yason撰写，由Hannibal509@gmail.com翻译。逆向工程通常涉及分析汇编代码以理解高级语言编写的软件的工作原理，而在现代软件开发中，C++的广泛应用使得理解和逆向C++变得至关重要。文章分为四个部分：引言和必要性、手工方法、自动化以及小结。 I. 引言和必要性部分指出，由于C++在恶意软件开发中的广泛使用，逆向工程分析人员需要能够识别C++程序的类结构、继承关系和成员。这需要他们具备识别类、类间关系和成员的能力。文章旨在教授这些技能，并探讨自动化分析的可能性。 II. 手工方法详细介绍了如何手动识别C++对象的各个方面，包括： - A. 识别类及其构造函数：通过对反汇编代码的分析来寻找构造函数的迹象。 - B. 识别类：通过分析构造函数和析构函数，以及利用运行时类型信息(RTTI)识别多态类。 - C. 判别类与类之间的关系：通过构造函数和RTTI来探索继承和派生关系。 - D. 辨别类的成员：分析内存布局和函数调用来确定成员变量和函数。 III. 自动化部分探讨了如何使用工具自动化上述手动过程，重点介绍了OOP_RE工具，并解释了为何选择静态分析。自动化分析的策略包括： - 利用RTTI和虚函数表识别多态类。 - 通过搜索构造/析构函数来识别类。 - 识别类之间的继承关系。 - 类成员的识别。 - 结果的注释和可视化，如改进的调用图表和UML图。 IV. 小结部分总结了整个过程，强调了学习逆向C++的重要性和实际应用。 这篇文章提供了深入理解C++逆向工程的关键步骤和工具，对于安全研究人员和逆向工程师来说，是掌握逆向C++程序分析的宝贵资源。通过手工分析的技巧和自动化工具的介绍，读者可以更有效地解析C++程序的内部结构，这对于对抗现代C++恶意软件和理解复杂软件行为至关重要。