情報システム実験B「バイナリプログラムの解析」(2022年度)

担当教員： 大山恵弘 （筑波大学 システム情報系）

実験の概要

• 解析のためのツールや解析を妨害するためのツールの使い方を学ぶとともに．解析現場における問題を模した問題をそれらのツールによって実際に解決する．
• それらのツールを改造して機能を拡張したり，それらのツールの核となる部分だけを有するような小さいツールを実装する．
• バイナリプログラムの解析のための，規模がある程度大きいシステムを最終課題として開発し，発表会でそれについてのプレゼンテーションを行う．

manabaのコースページ

実験の資料，参考書

• Dennis Andriesse, "Practical Binary Analysis," No Starch Press，2018.
  • 著者によるサポートページ / No Starch Press 内のこの本のページ / Amazon.co.jp 内のこの本のページ / Amazon.com 内のこの本のページ
  和訳：
  Dennis Andriesse 著，株式会社クイープ／遠藤美代子 訳，「実践バイナリ解析 バイナリ計装、解析、逆アセンブリのためのLinuxツールの作り方」，ドワンゴ，2022．
  • Amazon.co.jp 内のこの本のページ / カドカワ 内のこの本のページ
• Reginald Wong, "Mastering Reverse Engineering," Packt，2018.
  • Amazon.co.jp 内のこの本のページ / Amazon.com 内のこの本のページ
• Monnappa K A, "Learning Malware Analysis," Packt，2018.
  • Amazon.co.jp 内のこの本のページ / Amazon.com 内のこの本のページ
  和訳：
  Monnappa K A 著，石川 朝久 訳，「初めてのマルウェア解析」，オライリー・ジャパン，2020．
  • Amazon.co.jp 内のこの本のページ / オライリー・ジャパン 内のこの本のページ

• 姜 秉卓 著, 金 輝剛 監修, 金 凡峻 翻訳，「リバースエンジニアリングバイブル」，インプレス，2013．
  • Amazon.co.jp 内のこの本のページ
• Digital Travesia管理人 うさぴょん 著, 「デバッガによるx86プログラム解析入門【x64対応版】」，秀和システム，2014．
  • Amazon.co.jp 内のこの本のページ

実験のスケジュール（予定）

• 第1週： ガイダンス，プログラムファイルのメタデータ
• 第2週： 逆アセンブルと逆コンパイル
• 第3週： マルウェア解析Webサービス
• 第4週： パッカー
• 第5週： 難読化
• 第6週： シグネチャマッチング
• 第7週： 動的解析
• 第8週： 解析回避と環境fingerprinting
• 第9週： ファジング
• 第10週： シンボリック実行
• 第11週： 最終課題のシステムの実装（1）
• 第12週： 最終課題のシステムの実装（2）
• 第13週： 最終課題のシステムの実装（3）
• 第14週： 最終課題発表会

最終課題（予定）

関連するツール，資料，記事（随時更新）

• 全体
  • マルウェア解析者になるための勉強方法(work-in-progress): https://github.com/pinksawtooth/how_to_become_a_malware_analyst
• 第1週
  • ファイルのダンプに使えるコマンド： od, hexdump, xxd
  • PEファイル情報出力ツール
    • PEiD: https://www.aldeid.com/wiki/PEiD
    • PE Explorer: https://www.aldeid.com/wiki/PEiD
    • PPEE (puppy): https://www.mzrst.com/
    • PEInfo: https://www.pazera-software.com/products/peinfo/
    • UMPE: https://digitaltravesia.jp/usamimihurricane/webhelp/_RESOURCE/MenuItem/another/anotherUMPE.html
    • PE-bear: https://github.com/hasherezade/pe-bear
  • バイナリエディタ
    • Microsoft Visual Studio Code and Hex Editor Extension: https://marketplace.visualstudio.com/items?itemName=ms-vscode.hexeditor
    • vim
    • Emacs hex-mode
    • BZ: https://forest.watch.impress.co.jp/library/software/binaryeditbz/
    • Stirling: https://www.vector.co.jp/soft/win95/util/se079072.html
    • FlexHEX: http://www.flexhex.com/
    • HxD: https://mh-nexus.de/en/hxd/
  • 汎用ツール
    • Windows Sysinternals Suite: https://docs.microsoft.com/ja-jp/sysinternals/
    • CyberChef: https://gchq.github.io/CyberChef/
  • 関連資料
    • Microsoft Docs: PE 形式 https://docs.microsoft.com/ja-jp/windows/win32/debug/pe-format
    • @IT: PEフォーマットを解釈せよ！ https://atmarkit.itmedia.co.jp/ait/articles/1202/17/news129.html
    • PEファイルフォーマットについて https://qiita.com/cha1aza/items/f64dc4351517a2477ef1
    • PE(Portable Executable)ファイルフォーマットの概要 http://shopping2.gmobb.jp/htdmnr/www08/mcc/doc/pe.html
    • MSDN Magazine, "An In-Depth Look into the Win32 Portable Executable File Format": https://learn.microsoft.com/en-us/archive/msdn-magazine/2002/february/inside-windows-win32-portable-executable-file-format-in-detail
    • MSDN Magazine, "An In-Depth Look into the Win32 Portable Executable File Format, Part 2": https://learn.microsoft.com/en-us/archive/msdn-magazine/2002/march/inside-windows-an-in-depth-look-into-the-win32-portable-executable-file-format-part-2https://learn.microsoft.com/en-us/archive/msdn-magazine/2002/march/inside-windows-an-in-depth-look-into-the-win32-portable-executable-file-format-part-2
  • 第2週
    • 逆アセンブル，デバッグ
      • objdump
      • readelf
      • gdb
      • libbfd
      • Radare2: https://github.com/radareorg/radare2
      • うさみみハリケーン: https://digitaltravesia.jp/usamimihurricane/HowToUseUsaMimi.html
    • 逆コンパイル機能あり
      • Ghidra: https://ghidra-sre.org/
      • IDA Pro: https://hex-rays.com/ida-pro/ IDA Free: https://hex-rays.com/ida-free/
      • Boomerang: https://github.com/BoomerangDecompiler/boomerang
      • Binary Ninja: https://binary.ninja/
      • RetDec: https://github.com/avast/retdec
  • 第3週
    マルウェア解析Webサービス
    
    • VirusTotal: https://www.virustotal.com/
    • Hybrid Analysis: https://hybrid-analysis.com/
    • Joe Sandbox Cloud: https://www.joesandbox.com/
    • any.run: https://any.run/
    • Hatching Triage: https://tria.ge/
    • OPSWAT MetaDefender Cloud: https://metadefender.opswat.com/
  • 第4週
    パッカー
    
    • オープンソース
      • UPX: https://upx.github.io/
      • Yoda's Protector: http://yodap.sourceforge.net/
      • (Upack): Obsolete?
      • (NSPack): Obsolete?
    • 無料
      • PECompact: https://bitsum.com/portfolio/pecompact/
      • PEtite: https://www.un4seen.com/petite/
    • 商用（ただし多くは無料の評価版も提供）
      • Themida: https://www.oreans.com/Themida.php
      • VMProtect: https://vmpsoft.com/products/vmprotect/
      • ASPack: http://www.aspack.com/aspack.html
      • The Enigma Protector: https://enigmaprotector.com/
      • (Obsidium): Obsolete? https://www.obsidium.de/
    • Packing/unpacking関連の資料
      • Black Hat 2007 USA: Mark Vincent Yason, "The Art of Unpacking" https://www.blackhat.com/html/bh-media-archives/bh-archives-2007.html
      • x64dbgによるIAT再構築（UPXのアンパック） https://qiita.com/KazuMatsuHack9981/items/7dfbbfeeb6123fe4d28b
      • UPXのアンパック方法 https://doomo.main.jp/OllyDBG/index_06.htm
      • アンパック手順 覚え書き https://www.wivern.com/malware20161101.html
      • マニュアルアンパックのIAT再構築を手動でやった話 https://qiita.com/yakumo890/items/a458e993dcd37a595a89
  • 第5週
    難読化
    
    • ツール
      • 無料
        • C言語用： Tigress: https://tigress.wtf/
          学術的に最先端を走る研究グループによる，Cソースコード-to-Cソースコード難読化器
        • LLVM用： Obfuscator-LLVM: https://github.com/obfuscator-llvm/obfuscator
        • Javaバイトコード用： ProGuard: https://github.com/Guardsquare/proguard
        • .NET用： Dotfuscator: https://docs.microsoft.com/ja-jp/visualstudio/ide/dotfuscator/
        • Ruby言語用： RubyEncoder: 日本語版: https://rubyencoder.jp/ 英語版: https://www.rubyencoder.com/
        • Proof-of-conceptツール： M/o/Vfuscator: https://github.com/xoreaxeaxeax/movfuscator
          mov命令だけからなるアセンブリコードにコンパイルするCコンパイラ
      • 商用製品
        • VMProtect https://vmpsoft.com/
        • Oreans Technologies社製品
          • Themida https://www.oreans.com/themida.php
          • WinLicense https://www.oreans.com/WinLicense.php
          • Code Virtualizer https://www.oreans.com/CodeVirtualizer.php
        • ソフトウェアプロテクション 「Code Protection」「WhiteBox」 https://www.tjsys.co.jp/embedded/MatrixSSE/index_j.htm
        • PELock https://www.pelock.com/
        • StarForce C/C++ Obfuscator https://www.star-force.com/jp/
        • PreEmptive PROTECTION https://www.agtech.co.jp/preemptive/product/
        • DashO for Java/Android https://www.agtech.co.jp/preemptive/dash_o/product/
        • DeNA DeClang: https://github.com/DeNA/DeClang
    • 関連情報
      • イベント: The International Obfuscated C Code Contest (IOCCC): https://www.ioccc.org/
      • Wikipedia: 難読化 (ソフトウェア): https://ja.wikipedia.org/wiki/%E9%9B%A3%E8%AA%AD%E5%8C%96_(%E3%82%BD%E3%83%95%E3%83%88%E3%82%A6%E3%82%A7%E3%82%A2)
      • IT用語辞典e-Words: 難読化 https://e-words.jp/w/%E9%9B%A3%E8%AA%AD%E5%8C%96.html
  • 第6週
    • ClamAV: https://www.clamav.net/
    • YARA: https://virustotal.github.io/yara/
    • Snort: https://www.snort.org/
    • EICAR: https://eicar.org/
    • InSignary Clarity: https://www.insignary.com/
    • GrammaTech CodeSentry: https://www.grammatech.com/codesentry-sca
    • Black Duck: ソフトウェア・コンポジション解析 https://www.synopsys.com/ja-jp/software-integrity/security-testing/software-composition-analysis.html
  • 第7週
    • トレーサ
      • strace
      • ltrace
    • デバッガ
      • gdb
      • IDA Pro: https://hex-rays.com/ida-pro/ IDA Free: https://hex-rays.com/ida-free/
      • RetDec: https://github.com/avast/retdec
      • うさみみハリケーン: https://digitaltravesia.jp/usamimihurricane/HowToUseUsaMimi.html
    • バイナリinstrumentation
      • Intel Pin: https://www.intel.com/content/www/us/en/developer/articles/tool/pin-a-dynamic-binary-instrumentation-tool.html
      • DynamoRIO: https://dynamorio.org/
    • サンドボックス
      • Cuckoo Sandbox: https://cuckoosandbox.org/
      • Windows Sandbox: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/windows-sandbox/windows-sandbox-overview
      • Sandboxie: https://github.com/sandboxie-plus/Sandboxie/
    • コンテナ基盤
      • LXC: https://linuxcontainers.org/lxc/introduction/
      • LXD: https://linuxcontainers.org/lxd/introduction/
      • Docker: https://www.docker.com/
    • エミュレータ
      • QEMU: https://www.qemu.org/
      • Bochs: https://bochs.sourceforge.io/
      • Unicorn Engine: https://github.com/unicorn-engine/unicorn
      • Qiling Framework: https://qiling.io/
    • ハイパバイザ，仮想マシンモニタ
      • VMware: https://www.vmware.com/
      • VirtualBox: https://www.virtualbox.org/
      • Hyper-V: https://docs.microsoft.com/ja-jp/virtualization/hyper-v-on-windows/about/
      • Parallels Desktop: https://www.parallels.com/
  • 第8週
    • American Fuzzy Lop (AFL) https://github.com/google/AFL
    • Fuzzing関連の資料
      • "An Empirical Study of the Reliability of UNIX Utilities," Communications of the ACM, Vol. 33, No. 12, 1990. https://doi.org/10.1145/96267.96279
      • B. Miller et al., "Fuzz Revisited: A Re-examination of the Reliability of UNIX Utilities and Services," Technical Report, Computer Sciences Department, University of Wisconsin, 1995. http://www.paradyn.org/papers/fuzz-revisited
  • （第9週）
    • Paranoid Fish (Pafish) https://github.com/a0rtega/pafish
    • Al-Khaser https://github.com/LordNoteworthy/al-khaser
    • InviZzzible https://github.com/CheckPointSW/InviZzzible
    • Sems https://github.com/AlicanAkyol/sems
  • （第10週）
    • ツール
      • angr: https://angr.io/
      • Triton: https://triton-library.github.io/
      • KLEE: http://klee.github.io/
    • 解説論文
      • R. Baldoni et al., "A Survey of Symbolic Execution Techniques," ACM Computing Surveys, Vol. 51, No. 3, 2018. https://doi.org/10.1145/3182657

  ---

  Copyright (C) 2022 Yoshihiro Oyama All rights reserved.