إزالة التعتيم الثنائي المتقدم

يحتوي هذا المستودع على مواد الدورة التدريبية الخاصة بـ إزالة التعتيم الثنائي المتقدم في المخيم العالمي للأمن السيبراني (GCC) طوكيو و المعسكر الوطني للأمن في عام 2020.

ملخص الدورة

الهندسة العكسية ليست سهلة، خاصة إذا كان الكود الثنائي مبهمًا. بمجرد إجراء التعتيم، لن يتم تحليل الثنائي بدقة باستخدام التقنيات الساذجة وحدها. في هذه الدورة، ستتعلم مبادئ التعتيم (خاصة المستخدمة من قبل البرامج الضارة)، ونظرية وممارسة تحليل الكود المبهم، وكيفية كتابة أداتك الخاصة لإزالة التعتيم. على وجه الخصوص، نتعمق في تحليل تدفق البيانات وتحليل الثنائي القائم على SAT/SMT (مثل التنفيذ الرمزي) لجعل التعتيم غير فعال.

مخطط

هذه الدورة تدور حول إزالة التعتيم الثنائي، وهي مخصصة لمحللي الأمن والباحثين (في طور التكوين) الذين يتطلعون إلى إضافة مجموعة مهارات لكتابة أدواتهم الخاصة إلى ترسانتهم. في نهاية هذه الدورة، سيكون المشاركون قادرين على:

• فهم متعمق للنظرية والممارسة والرؤى الخلفية للتعتيم
• بناء حمولة مبهمة مخصصة باستخدام أدوات التعبئة الحديثة
• تطبيق تقنيات تحسين المترجم على مهام تحليل الثنائي
• تصميم وتنفيذ أدوات تحليل ثنائي آلية تعتمد على محرك تنفيذ رمزي
• حتى تحليل البرامج الضارة المبهمة المستخدمة في حملات التهديد المتقدم المستمر (APT)

لتحقيق هذه الغاية، عُقدت الدورة في شكل مزيج من التعلم في الفصول الدراسية والتدريب العملي في GCC.

المعرفة المسبقة المطلوبة

يجب أن يكون لدى المشاركين:

• مجموعة مهارات قوية في بنية x86/x64
• خبرة أساسية في C/C++ و Python
• فهم أساسي لعلوم الحاسب منخفضة المستوى (مثل أنظمة التشغيل، المترجمات، المفسرات، الرابطات، والمحملات)

الروابط التالية مفيدة لسد الفجوة.

• الهندسة العكسية 101
• استغلال الثنائي الحديث بواسطة RPISEC

بداية سريعة

نفترض وجود Ubuntu 18.04 مع Miasm و Z3 و Jupyter Notebook.

1. تثبيت VirtualBox
2. تنزيل صورة Ubuntu 18.04.3 وتثبيتها في VirtualBox
3. استنساخ هذا المستودع
4. تنفيذ ./setup.sh ./
5. تثبيت IDA Freeware
6. اقرأ Advanced-Binary-Deobfuscation.pdf واستمتع!