Reverse

5.1.1. Ghidra

1. Astuces
   
   1. Mettre à jour des fonctions
      

      Après avoir modifié les paramètres d'une fonction, elle ne sera pas forcément mise à jour dans le reste du code. Dans ce cas là, il faut faire un clic droit sur la fonction modifiée et cliquer sur Commit Param/Return (ou taper P).

   2. Mettre en évidence une variable (décompilateur)
      

      Clic molette sur la variable.

      Pour le mettre par défaut: dans les options, Listing fields, sous-menu Cursor Text Highlight puis changer le bouton de souris.

   3. Voir la stack (désassembleur)
      

      Il faut se trouver dans la fenêtre du désassembleur et faire un clic droit sur la fonction, et sélection Edit Stack Frame dans le menu Function.

   4. Marque-page
      

      Il est possible de voir la liste des marques-pages (ou Bookmarks) en cliquant sur le check violet dans la barre de menu. Pour en rajouter, cela se fait dans la vu désassembleur, avec un clic droit.

   5. Bytes view
      

      Activable dans le menu Windows (sous le nom de Bytes), cela permet d'avoir un éditeur hexadécimal du programme.

   6. Créer une structure
      

      Clic droit sur la variable : Auto-create Structure. Il est possible de l'éditer en cliquant sur Edit Data Type dans le menu du clic droit.

   7. Créer une structure dans une structure
      
      1. Sélectionner les champs qui forment cette structure
      2. Cliquer sur le bouton avant la maison
      3. Profit
2. Plugin
   
   1. Dragondance
      

      Plugin permettant de visualiser la couverture de code binaire. Une première version plus maintenu est disponible. Il est préférable d'utiliser son fork.

3. Scripts
   
   • ResolveX86orX64LinuxSyscallsScript.java (built-in) : permet de remplacer les appels systèmes faient via syscall par les fonctions.
4. Débuggeur
   

   Permet de poser des points d'arrêts avec le raccourcis k sur la ligne où l'on souhaite s'arrêter. Il y a différentes vues pour pouvoir voir l'état des registres, de la stack… Il n'est pas possible de taper dans l'entrée standard par défaut.

5.1.2. Radare2

1. Conférences
   

   Très peu de replays disponibles. Certaines slides sont disponible sur Github.

   • 2021
   • 2020
   • 2019
   • 2018
   • 2017
   • 2016

5.1.3. Cutter

1. Installation de plugins
   

   Sur Gentoo

   cmake -DBUILD_CUTTER_PLUGIN=ON -DCMAKE_INSTALL_PREFIX=~/.local -DCUTTER_INSTALL_PLUGDIR=~/.local/share/rizin/cutter/plugins/native/ ..
   

5.1.4. .NET

1. dnSpy
   

   Dépôt Github - N'est plus maintenu.

   1. Utilisation de base
      

      Editer > Rechercher un assemly

      permet de chercher dans tout les fichiers

      Champs de recherche

      double clic ouvre le fichier contenant le code

      Sur un élément > Clic droit > Analyser

      permet de voir où la variable est lue ou ce qu'elle lit

      Clic droit > Éditer la méthode

      permet de modifier une fonction directement dans le DLL

      Clic droit > Modifier la classe

      permet de modifier la classe, peut être plus pratique selon le contexte

      Après des modifications dans le code, il faut cliquer sur Compiler pour enregistrer les modifications. Pour pouvoir les enregistrer dans le DLL, il faut se rendre dans le menu Fichier > Enregistrer tout.

5.2.1. x64dbg

5.3.1. Frida

1. Ressources
   
   • Site
   • HandBook (contient des exercices pour apprendre).
   • Partage de script
2. Injection
   
   1. Android
      

      Pour se connecter sur une application Android, il faut la patcher avec Frida. Il est possible de le faire de plusieurs manière :

      • objection : objection patchapk -s app.apk
      • apkpatcher : avec son image Docker : docker run --rm -v .:/pwd -it madsquirrels/apkpatcher -a base.apk --download_frida_version 16.3.3

      Il faut ensuite s'y attacher avec frida -U FridaTarget en ayant branché au préalable le téléphone au PC en USB.

3. Scripting
   

   Il est possible de communiquer avec Frida en JS via sa console ou écrire des scripts. Un auto reload peut-être utilisé pour recharger et réexécuter le script après sauvegarde du fichier. Les commandes %reload et %autoreload on peuvent être utilisées dans la console pour gérer le script. On peut appeler les fonctions du script à la main dans la console.

   Avec l'API Typescript, il faut installer et importer frida-java-bridge.

   L'instrumentation des classes Java natives se fait facilement. Il est possible d'appeler la fonction originale avec this.Function() :

   import Java from 'frida-java-bridge';
   var string_class = Java.use("java.lang.String");
   var instance = string_class.$new("Toto");
   string_class.charAt.implementation = (c) => {
       console.log("Dans charAt");
       return 'u';
   };
   

   Pour l'instrumentation d'un classe Android de l'application, il faut passer par Java.perform(). Cette fonction va s'assurer que le thread est exécuté dans la MV de l'application.

   import Java from 'frida-java-bridge';
   Java.perform(() => {
       var test_class = Java.use("fr.custom.Classe");
   });
   

4. Tracer des fonctions
   

   Par défaut, Frida va instrumenter toutes les fonctions. Il vaut mieux en viser une en particulier pour ne pas avoir une application très lente.

   Il faut utiliser frida-trace. Il peut ne pas tracer certaines fonctions si les éléments n'étaient pas chargés (tel que les boutons sur un menu Android).

   La syntaxe est class_name!function_name. Il est possible d'ajouter l'atome regex *.

5. Fonctions utiles
   
   • Java.enumerateMethods : permet d'afficher des informations sur des fonctions. Il est possible d'utiliser la même syntaxe que pour frida-trace (class!function, avec l'opérateur *)

5.3.2. Objection

5.4.1. Qiling

5.4.2. Unicorn

7.1.1. reverse c# unity

8.1.1. Avec apktool

zipalign -p -f -v 4 my_app.apk aligned.apk
apksigner sign --ks research.keystore aligned.apk

8.1.2. Avec apkpatcher

# avec docker pour injecter Frida
docker run --rm -v .:/pwd -it madsquirrels/apkpatcher -a base.apk --download_frida_version 16.3.3

# pour repacker une application XAPK qui est découpé en plusieurs APK
apkpatcher -a apk -m split split
# pour activer le debug
apkpatcher -a apk --enable-debug

# ... et bien plus

8.4.1. React Native

11.2.1. Niveau 1 à 2 (simple)

11.2.2. Niveau 3

11.2.3. Niveau 4

11.2.4. Niveau 5 à 6 (BBT²)

11.2.5. PWN

11.2.6. Random