Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
WykrywaniespakowanychprogramówzapomocąPEiD
JednymzesposobówwykrywaniaspakowanychplikówjestużycieprogramuPEiD.Za
pomocątegonarzędziamożnawykryćtyppakeralubkompilatorazastosowanegodo
zbudowaniaaplikacji,coznacznieułatwiaanalizęspakowanegopliku.Rysunek1.5
pokazujeinformacjeoplikuorig_aj2.ex_raportowaneprzezPEiD.
Rysunek1050ProgramPEiD
UWAGARozwójiwsparciedlaPEiDzostałowstrzymaneodkwietnia2011roku,alenadaljesttonajlepsze
dostępnenarzędziedowykrywaniapakeraikompilatora.Wwieluprzypadkachokreślirównież,który
pakietzostałużytydospakowaniapliku.
Jakwidać,PEiDzidentyfikowałplikjakospakowanyzapomocąUPXwwersji
0.89.6-1.02lub1.05-2.90.(Zignorujmynarazieinnepokazanetutajinformacje.Prze-
analizujemytenprogrambardziejszczegółowowrozdz.18).
Gdyprogramjestspakowany
,toabymócprzeprowadzićdowolnąanalizę,należy
gorozpakować.Procesrozpakowywaniajestczęstozłożonyizostałszczegółowoomó-
wionywrozdziale18,natomiastprogramdopakowaniaUPXjesttakpopularnyiła-
twywużyciudorozpakowywania,żezasługujenaszczególnąuwagęwtymmomencie.
Naprzykład,abyrozpakowaćzłośliweoprogramowaniezapomocąUPX,wystarczy
pobraćUPX(http://upx.sourceforge.net/)iuruchomićgownastępującysposób,używając
jakoargumentunazwyspakowanegoprogramu:
upx-dPackedProgram.exe
UWAGAWielewtyczekPEiD-abezostrzeżeniauruchamiazłośliweoprogramowanie!(Zobaczrozdz.2,aby
dowiedziećsię,jakskonfigurowaćbezpieczneśrodowiskodouruchamianiazłośliwegooprogramowa-
nia).Podobnie,jakwszystkieprogramy,zwłaszczatewykorzystywanedoanalizymalware,PEiDteż
możezawieraćsłabepunkty.NaprzykładwPEiDwwersji0.92występowałoprzepełnieniebufora,
któreumożliwiłoatakującemuwykonaniedowolnegokodu.Pozwoliłobytosprytnemutwórcyzłośliwe-
gooprogramowanianapisaćprogramwykorzystującymaszynęanalitykamalware.Pamiętajmy,aby
używaćnajnowszejwersjiPEiD.
14Rozdział1
