Reverse

Gentoo avec Ghidra pour pouvoir désassembler et décompiler. GDB pour pouvoir exécuter et faire de l'exécution pas à pas. LXD ou Qemu pour avoir une VM Windows 10.

• strings : affiche le binaire avec les chaînes de caractères trouvables dedans. Peut contenir un flag.
• file : pour vérifier si le binaire a été striped et comment il est link.
  • striped : les symboles ont été enlevés, les fonctions ont un nom basé sur leur adresse dans le décompilateur.
  • link : il peut l'être de 2 manières différentes
    • dynamique : on a les noms de fonctions
    • statique : les bibliothèques se trouvent dans le binaire. Un travail supplémentaire peut être nécessaire pour pouvoir identifier les fonctions de la libc par exemple

Vidéo de LiveOverflow sur les différences entre un binaire striped et les différentes manières de lier les bibliothèques.

• begin.re : expliquations sur la pile et les premiers pas dans le RE avec IDA (avec des exercices que je n'ai pas encore fait)

Je n'ai pas testé tous les logiciels listés ici. Je les rajouterai au fur et à mesure dans ma configuration ou via des sections dédiées avec plus d'informations si je me penche dessus sérieusement.

• pwntools

pyinstxtractor pour extraire les fichiers Python du .exe.

decompyle3 pour générer le fichier Python à partir du fichier .pyc. Ne crash pas en cas d'erreur, contrairement à uncompyle6.

Les jeux réalisés sous Unity n'ont pas leur code obfusqué de base. Comme ils sont écrit en C#, il est très simple de les reverse avec dnSpy ou ILSpy.

Les fichiers DLL se trouvent dans le dossier X_Data/Managed (où X est le nom du jeu). Il faut ouvrir tous les DLL dans dnSpy afin de pouvoir les lire. Il faut ouvrir le fichier Assembly-CSharp.dll.

Les applications Android sont majoritairement développées en Java ou en Kotlin. Les codes compilés en .class sont ensuite recompilés par d8 en .dex. Sur les anciennes versions d'Android, la machine virtuelle Dalvik les exécutait; maintenant c'est ART qui le fait. Un APK est une archive qui contient les fichiers compilés en dex, le manifest de l'application, ses ressources et sa signature.

Pour dézipper les fichiers APK, il faut utiliser apktool. Il permet d'extraire, de re-packager et désassembler les fichiers.

Les fichiers extraits avec la commande d sont:

• le manifeste
• un fichier contenant les informations pour repacker l'application
• méta-données
• ressources
• bibliothèques
• fichiers assembleurs smali

Le smali est l'assembleur pour la MV Dalvik. baksmali est un désassembleur pour smali.

Il est possible de voir les activités dans le manifeste ainsi que de les lancer avec la commande adb shell am start le.package.application/.Activite.

Pour repacker une application : c'est la commande b. Il faut aussi la signer. Cela se fait en 2 étapes:

1. créer un trousseau de clés avec Java

   keytool -genkey -v -keystore research.keystore -alias research_key -keyalg RSA -keysize 2048 -validity 10000

2. signer avec ce trousseau

   jarsigner -verbose -keystore research.keystore app.apk research_key

En cas d'erreur INSTALL_FAILED_INVALID_APK: Failed to extract native libraries, il faut les activer dans le manifeste.

En cas d'erreur: Failed parse during installPackageLI: Targeting R+ (version 30 and above) requires the resources.arsc of installed APKs to be stored uncompressed and aligned on a 4-byte boundary], il faut installer le SDK afin d'avoir les build tools. Il faut ensuite taper les commandes suivantes:

zipalign -p -f -v 4 my_app.apk aligned.apk
apksigner sign --ks research.keystore aligned.apk

https://github.com/SkyPenguinLabs/REplay