首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]Linux下64位ELF有啥好的逆向方法
发表于: 2013-6-8 09:03 6470

[求助]Linux下64位ELF有啥好的逆向方法

kobemc 活跃值
2013-6-8 09:03
6470
手上有一个变种的UPX加密过的64位elf

网上的ida pro 5.2 linux版调64位程序的有bug，跑不起来

后来的几个6.0 6.1的demo又不带ida64

折腾了几天gdb  

倒是能反汇编，能跟，但是dump memory，如果指定0x400000-0x800000的memory，只会提示地址不可读

用gcore倒是能把完整的内存镜像dump出来，但是带着太多后面0x7fffffxxxxxx后面的share libarary的部分

怎么样才能脱出一个干净的elf呢

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！

收藏
免费 ・0
支持
分享
最新回复 (4)
老伙计
雪    币： 753
活跃值： (2913)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
Linux应该不支持程序运行中自修改，也就是说，运行前，系统会把脱了壳的程序写到磁盘上一个比较隐蔽的地方，然后调用此程序。运行完后，先删除脱了壳的程序，再退出。
2013-6-8 09:32
0
kobemc
雪    币： 40
活跃值： (49)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
应该不是这样的

upx壳确实是把原程序释放在来进程本地的空间里面了

gcore出来的dump，用ida load出来，能看到释放出来的字符串、函数什么的
2013-6-8 10:02
0
phoenixkiller
雪    币： 237
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
确实见过一个老伙计说的那样的程序，运行起来后就直接删除硬盘上的临时文件。在unlink函数处下断可以找到删除前的脱壳文件。
2013-6-8 16:29
0
kobemc
雪    币： 40
活跃值： (49)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
upx把所有的导入函数信息都抹了

怎么在gdb里定位哪个是unlink...
2013-6-9 09:30
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回