25.07.2015

Посылка с JavaScript-сюрпризом

Этой зимой я был удивлён письму от компании FedEx (так было написано в отправителях) на своем основном ящике. Я не ждал посылок, поэтому сразу же подумал на спам, но у Google неплохой фильтр, да и этот email не так часто использую для регистрации, поэтому было удивительно, что оно автоматически не попало в корзину. Содержимое письма было довольно банально - у Вас посылка и вложенный zip-архив. Вот внутренности архива были уже более интересны - файл с именем “FedEx_ID_000482180.

25.07.2015

02.06.2015

Побеждаем baby_rop с помощью radare2

Многие просили пример использования radare2, но не такой детальный как этот или такой короткий как этот. В итоге было решено написать эту статью. Данный бинарный файл является заданием “baby_rop” из небольшого CTF, что проходил во Франции, под названием - sthack Запомните, если не знаете какая точно команда, то добавляйте символ ? для получения справки. Готовы? Вперёд! $ r2 baby_rop Warning: Cannot initialize dynamic section -- Experts agree, security holes suck, and we fixed some of them!

02.06.2015

18.12.2014

Установка radare2-bindings и решение проблем

Одна из особенностей фреймворка, которая выделяет его на фоне прочих дизассемблеров - поддержка большого количества ЯП. Но сделать эту поддержку на своей локальной машине в некоторых случаях бывает очень сложно. Сегодня я постараюсь описать с какими сложностями столкнулся при установке биндингов на несколько систем и способы их решения. Хоть и для установки есть автоматический скрипт в самом фреймворке: darkair:radare2 dukebarman$ sys/python.sh Но он как минимум требует зависимости о которых я сегодня и расскажу.

18.12.2014

01.12.2014

Змеиный укус. Python-фреймворк Viper для анализа малвари

Когда ты независимый аналитик или сотрудник небольшой компании, то возникает проблема содержания базы различных вредоносных сэмплов в порядке. Кто-то использует для этого собственный приватный или локальный сервер с каким-нибудь wiki-движком или самописной оберткой для базы данных. Но когда у тебя большое количество вроде бы однотипных сэмплов, то иногда хочется сделать небольшую заметку на будущее при поверхностном анализе для интересных файлов, а автоматический анализ увы не всегда справляется.

01.12.2014

31.10.2014

На radare как на ладони. Основы работы с фреймворком radare2

Статья была опубликована в начале сентября 2014 года в журнале Хакер, а написана в августе, поэтому не удивляйтесь, что за эти несколько месяцев фреймворк стал лучше и расширил свой функционал. Intro Небольшой экскурс в историю. Проект radare начал разрабатывать хакер с ником pancake в 2006 году и долгое время по сути он был единственным разработчиком. Созданный фреймворк обладал простым консольным интерфейсом для работы как шестнадцатеричный редактор, поддерживающий 64-битную архитектуру.

31.10.2014