|
关于我们
 书单推荐 新书推荐 |
Ghidra权威指南 
定 价：139.99 元 丛书名：安全技术大系
9 7 4 8 4 7 5 1 5 2 1 1 4 读者对象:安全领域从业人员 
Ghidra是美国国家安全局（NSA）开发的免费和开源的逆向工程工具，已于2019年的RSA正式发布，包含了一整套功能齐全的高级软件分析工具，可以帮助广大研究人员在Windows、macOS和Linux各大常见系统平台上进行源代码分析。目前已在技术安全社区掀起一股学习热潮。
Chris Eagle从事逆向工程工作已有40年。他是《IDA Pro权威指南》的作者，以及非常受欢迎的逆向工程培训专家。他开发了许多逆向工程工具，并在Blackhat、Defcon和Shmoocon等会议上发表演讲。Kara Nance是一名私人安全顾问。多年来一直是计算机科学教授。她曾在Honeynet Project董事会任职，并在世界各地的会议上发表过多次演讲。她喜欢构建Ghidra扩展并定期提供Ghidra培训。
杨超，毕业于西安电子科技大学，L-Team成员，CISP，CISSP，《CTF竞赛权威指南(Pwn篇)》作者。目前就职于某头部造车新势力，从事车联网安全研究和攻防测试工作，拥有多个CVE。活跃在开源社区，项目star数6000+，https://github.com/firmianay。
第一部分 简介
第1章 反汇编简介 1 1.1 反汇编理论 1 1.2 何为反汇编 2 1.3 为何反汇编 2 1.3.1 恶意软件分析 3 1.3.2 漏洞分析 3 1.3.3 软件互操作性 3 1.3.4 编译器验证 3 1.3.5 显示调试信息 4 1.4 如何反汇编 4 1.4.1 基础反汇编算法 4 1.4.2 线性扫描反汇编 5 1.4.3 递归下降反汇编 6 1.5 小结 9 第2章 逆向与反汇编工具 10 2.1 分类工具 10 2.1.1 file 10 2.1.2 PE Tools 12 2.1.3 PEiD 13 2.2 摘要工具 14 2.2.1 nm 14 2.2.2 ldd 16 2.2.3 objdump 17 2.2.4 otool 18 2.2.5 dumpbin 18 2.2.6 c++filt 19 2.3 深度检测工具 20 2.3.1 strings 20 2.3.2 反汇编器 21 2.4 小结 23 第3章 初识Ghidra 24 3.1 Ghidra许可证 24 3.2 Ghidra版本 24 3.3 Ghidra支持资源 24 3.4 下载Ghidra 25 3.5 安装Ghidra 25 3.5.1 Ghidra的目录结构 26 3.5.2 启动Ghidra 27 3.6 小结 27 第二部分 Ghidra的基本用法 第4章 开始使用Ghidra 28 4.1 启动Ghidra 28 4.2 创建新项目 29 4.2.1 Ghidra文件加载 30 4.2.2 使用原始二进制加载器 32 4.3 使用Ghidra分析文件 33 4.4 初始分析期间的桌面行为 36 4.5 Ghidra桌面提示和技巧 37 4.6 小结 38 第5章 Ghidra数据显示 39 5.1 CodeBrowser 39 5.2 CodeBrowser窗口 41 5.2.1 清单窗口 42 5.2.2 创建额外的反汇编窗口 45 5.2.3 函数图形化视图 46 5.2.4 程序树窗口 49 5.2.5 符号树窗口 50 5.2.6 数据类型管理器窗口 53 5.2.7 控制台窗口 53 5.2.8 反编译器窗口 53 5.3 其他窗口 55 5.3.1 字节窗口 55 5.3.2 数据定义窗口 56 5.3.3 字符串定义窗口 58 5.3.4 符号表和符号引用窗口 58 5.3.5 内存映射窗口 60 5.3.6 函数调用图窗口 61 5.4 小结 62 第6章 理解Ghidra反汇编 63 6.1 反汇编导航 63 6.1.1 名称和标签 63 6.1.2 在Ghidra中导航 64 6.1.3 Go To对话框 65 6.1.4 导航历史 65 6.2 栈帧 66 6.2.1 函数调用机制 66 6.2.2 调用约定 68 6.2.3 栈帧的其他思考 71 6.2.4 局部变量布局 72 6.2.5 栈帧示例 72 6.3 Ghidra栈视图 75 6.3.1 Ghidra栈帧分析 75 6.3.2 清单视图中的栈帧 76 6.3.3 反编译辅助栈帧分析 78 6.3.4 局部变量作为操作数 79 6.3.5 Ghidra栈编辑器 80 6.4 搜索 82 6.4.1 搜索程序文本 82 6.4.2 搜索内存 83 6.5 小结 84 第7章 反汇编操作 85 7.1 操作名称和标签 85 7.1.1 重命名参数和局部变量 86 7.1.2 重命名标签 89 7.1.3 添加新标签 89 7.1.4 编辑标签 90 7.1.5 删除标签 91 7.1.6 导航标签 91 7.2 注释 91 7.2.1 行末注释 92 7.2.2 前注释与后注释 92 7.2.3 块注释 93 7.2.4 可重复注释 94 7.2.5 参数和局部变量注释 94 7.2.6 注解 95 7.3 基本的代码转换 95 7.3.1 更改代码显示选项 95 7.3.2 格式化指令操作数 96 7.3.3 操纵函数 98 7.3.4 数据与代码的转换 100 7.4 基本的数据转换 100 7.4.1 指定数据类型 101 7.4.2 处理字符串 102 7.4.3 定义数组 103 7.5 小结 104 第8章 数据类型和数据结构 105 8.1 理解数据 105 8.2 识别数据结构的使用 106 8.2.1 数组成员访问 107 8.2.2 结构体成员访问 114 8.3 用Ghidra创建结构体 120 8.3.1 创建结构体 120 8.3.2 编辑结构体成员 122 8.3.3 应用结构体布局 124 8.4 C++逆向入门 125 8.4.1 this指针 125 8.4.2 虚函数和虚表 126 8.4.3 对象生命周期 129 8.4.4 名称改编 130 8.4.5 运行时类型识别 131 8.4.6 继承关系 132 8.4.7 C++逆向参考资料 133 8.5 小结 133 第9章 交叉引用 134 9.1 引用基础 134 9.1.1 交叉引用（反向引用） 135 9.1.2 引用示例 137 9.2 引用管理窗口 141 9.2.1 XRefs窗口 142 9.2.2 References To窗口 142 9.2.3 符号引用窗口 143 9.2.4 高级引用操作 143 9.3 小结 144 第10章 图形 145 10.1 基本块 145 10.2 函数图 146 10.3 函数调用图 152 10.4 树 157 10.5 小结 157 第三部分 让Ghidra为您工作 第11章 协作逆向工程 158 11.1 团队协作 158 11.2 Ghidra Server设置 158 11.3 共享项目 161 11.3.1 创建共享项目 161 11.3.2 项目管理 162 11.4 项目窗口菜单 163 11.4.1 文件菜单 163 11.4.2 编辑菜单 165 11.4.3 项目菜单 166 11.5 项目仓库 169 11.5.1 版本控制 169 11.5.2 示例场景 171 11.6 小结 175 第12章 自定义Ghidra 176 12.1 CodeBrowser窗口 176 12.1.1 重新排列窗口 177 12.1.2 编辑工具选项 177 12.1.3 编辑工具 179 12.1.4 特殊工具编辑功能 180 12.1.5 保存CodeBrowser布局 181 12.2 Ghidra项目窗口 182 12.3 工具菜单 185 12.4 工作区 189 12.5 小结 189 第13章 Ghidra功能扩展 190 13.1 导入文件 190 13.2 分析器 192 13.3 词模型 193 13.4 数据类型 195 13.5 Function ID分析器 198 13.6 Function ID插件 199 13.6.1 插件示例：UPX 200 13.6.2 插件示例：分析静态库 204 13.7 小结 207 第14章 Ghidra脚本开发 208 14.1 脚本管理器 208 14.1.1 脚本管理器窗口 209 14.1.2 脚本管理器工具栏 210 14.2 脚本开发 210 14.2.1 编写Java脚本 210 14.2.2 编辑脚本示例：正则搜索 212 14.2.3 编写Python脚本 215 14.2.4 支持其他语言 217 14.3 Ghidra API简介 217 14.3.1 地址接口 218 14.3.2 符号接口 218 14.3.3 引用接口 218 14.3.4 GhidraScript类 218 14.3.5 Program类 224 14.3.6 函数接口 225 14.3.7 指令接口 225 14.4 Ghidra脚本开发示例 226 14.4.1 示例1：枚举函数 226 14.4.2 示例2：枚举指令 226 14.4.3 示例3：枚举交叉引用 227 14.4.4 示例4：寻找函数调用 228 14.4.5 示例5：模拟汇编语言行为 229 14.5 小结 231 第15章 Eclipse和GhidraDev 232 15.1 Eclipse 232 15.1.1 Eclipse集成 232 15.1.2 启动Eclipse 233 15.1.3 使用Eclipse编辑脚本 233 15.2 GhidraDev菜单 234 15.2.1 GhidraDev→New 234 15.2.2 浏览包资源管理器 238 15.3 示例：Ghidra分析器模块项目 243 15.3.1 步骤1：定义问题 243 15.3.2 步骤2：创建Eclipse模块 244 15.3.3 步骤3：构建分析器 244 15.3.4 步骤4：使用Eclipse测试 分析器 249 15.3.5 步骤5：添加分析器到Ghidra 安装中 250 15.3.6 步骤6：使用Ghidra测试 分析器 250 15.4 小结 252 第16章 Ghidra无头模式 253 16.1 入门 253 16.1.1 步骤1：启动Ghidra 254 16.1.2 步骤2和3：在指定位新建 Ghidra项目 254 16.1.3 步骤4：将文件导入项目 255 16.1.4 步骤5和6：自动分析文件、 保存并退出 255 16.1.5 选项和参数 257 16.2 编写脚本 263 16.2.1 HeadlessSimpleROP 263 16.2.2 自动创建FidDb 267 16.3 小结 268 第四部分 深入探索 第17章 Ghidra加载器 269 17.1 未知文件分析 270 17.2 手动加载 Windows PE 文件 271 17.3 示例一：简易Shellcode加载器 279 17.3.1 步骤0：准备工作 280 17.3.2 步骤1：定义问题 282 17.3.3 步骤2：创建Eclipse模块 282 17.3.4 步骤3：构建加载器 283 17.3.5 步骤4：添加加载器到 Ghidra中 287 17.3.6 步骤5：在Ghidra中测试 加载器 288 17.4 示例二：简易Shellcode源代码 加载器 289 17.4.1 更新1：修改导入查询的 响应 289 17.4.2 更新2：在源代码中定位 Shellcode 290 17.4.3 更新3：将Shellcode转化为 二进制数组 290 17.4.4 更新4：导入二进制数组 291 17.4.5 生成结果 291 17.5 示例三：简易ELF加载器 292 17.5.1 统一代码规范 293 17.5.2 ELF头部格式 293 17.5.3 明确支持的加载规格 294 17.5.4 将文件内容加载到Ghidra中 295 17.5.5 数据格式化与添加入口点 296 17.5.6 语言定义文件 297 17.5.7 选项文件 297 17.5.8 结果 298 17.6 小结 300 第18章 Ghidra处理器 301 18.1 理解Ghidra处理器模块 302 18.1.1 Eclipse处理器模块 302 18.1.2 SLEIGH 303 18.1.3 处理器手册 304 18.2 修改Ghidra处理器模块 305 18.2.1 问题陈述 306 18.2.2 示例1：在处理器模块中添加 指令 306 18.2.3 示例2：修改处理器模块中的 指令 312 18.2.4 示例3：在处理器模块中添加 寄存器 319 18.3 小结 321 第19章 Ghidra反编译器 322 19.1 反编译器分析 322 19.2 反编译器窗口 324 19.2.1 示例1：在反编译器窗口中 编辑 325 19.2.2 示例2：无返回值函数 329 19.2.3 示例3：自动创建结构体 331 19.3 小结 334 第20章 编译器变体 336 20.1 高级结构 336 20.1.1 switch语句 336 20.1.2 示例：比较gcc与Microsoft C/ C++编译器 341 20.2 编译器构建选项 342 20.2.1 示例1：模运算符 343 20.2.2 示例2：三元运算符 345 20.2.3 示例3：函数内联 347 20.3 编译器特定的C++实现 348 20.3.1 函数重载 348 20.3.2 RTTI实现 349 20.4 定位main函数 352 20.4.1 示例1：gcc Linux x86-64从 _start到main 352 20.4.2 示例2：clang FreeBSD x86-64 从_start到main 353 20.4.3 示例3：Microsoft C/C++从 _start到main 354 20.5 小结 354 第五部分 实际应用 第21章 混淆代码分析 356 21.1 反逆向工程 356 21.1.1 混淆 356 21.1.2 反静态分析技术 357 21.1.3 导入函数混淆 366 21.1.4 反动态分析技术 370 21.2 使用Ghidra静态去混淆二进制文件 372 21.2.1 基于脚本的去混淆 373 21.2.2 基于模拟的去混淆 377 21.2.3 步骤1：定义问题 379 21.2.4 步骤2：创建Eclipse脚本 项目 379 21.2.5 步骤3：构建模拟器 379 21.2.6 步骤4：添加脚本到Ghidra 安装中 382 21.2.7 步骤5：使用Ghidra测试 脚本 382 21.3 小结 383 第22章 修补二进制文件 384 22.1 规划你的补丁 384 22.2 寻找需要修改的东西 385 22.2.1 搜索内存 385 22.2.2 搜索直接引用 386 22.2.3 搜索指令模式 386 22.2.4 寻找特定行为 389 22.3 应用你的补丁 390 22.3.1 做基本的修改 390 22.3.2 做重要的修改 394 22.4 导出文件 397 22.4.1 Ghidra导出格式 398 22.4.2 二进制导出格式 398 22.4.3 脚本辅助的导出 398 22.5 示例：修补二进制文件 400 22.6 小结 403 第23章 二进制差分和版本跟踪 404 23.1 二进制差分 404 23.1.1 程序差分工具 406 23.1.2 示例：合并两个已分析的 文件 408 23.2 比较函数 411 23.2.1 函数比较窗口 412 23.2.2 示例：比较加密例程 413 23.3 版本跟踪 417 23.4 小结 419 附录A IDA用户的Ghidra使用指南 420
你还可能感兴趣
我要评论
|
