Selamlar Millet Ben Guar!
Uzun zamandır reverse engineering, malware analizi ya da sadece acaba bu dosya neyle yazılmış diye merak edenlerin elinin altında olması gereken joker tooldan bahsedeceğim: Detect It Easy
Derinlemesine Analiz: Sadece hangi dille yazılmış demekle kalmıyor Entropy analizi, Hex, section bilgileri ve string taraması gibi ek özellikler de sunuyor.
1. Dosyayı İçeri Aktarma
En pratik yöntem incelemek istediğin dosyayı (EXE, DLL, APK veya neyse artık) direkt programın penceresine sürükleyip bırakmak. Bıraktığın an analiz biter.
2. Ana Ekran ve Temel Bilgiler
Dosyayı attıktan sonra ana ekranda karşına çıkan ilk yer özet ekranıdır. Burada dikkat etmen gerekenler:
File type: Dosyanın türünü söyler (PE32, ELF vb.)
Compiler: Hangi dille veya araçla derlendiğini gösterir (Visual Studio, GCC, Delphi vs.). Eğer dosya sıkıştırıldıysa ya da gizlendiyse burada doğrudan packer'ın adı yazar (UPX gibi).
3. Detaylı İnceleme Sekmeleri
Entropy: Grafikli bir kısımdır. Dosyanın içindeki verilerin ne kadar rastgele dağıldığını gösterir. Değer 7.5 ve üzerindeyse o kısım yüksek ihtimalle şifrelenmiştir veya paketlenmiştir. Malware analizinde "acaba burada packer mı var?" sorusunun ilk cevabı buradan alınır.
Sections : .text, .data, .rsrc gibi PE bölümlerini listeler. Her bölümün adresini, boyutunu ve okuma/yazma yetkilerini görürsün. Garip isimli ya da yetkileri anormal olan section'lar genelde şüphe uyandırır.
4. Dahili Araçlar
Hex Viewer: Dosyanın ham verisine bakmak istersen harici bir programa gerek kalmadan doğrudan içinden hex'e geçebilirsin.
Strings: Dosya içindeki okunabilir metinleri (fonksiyon isimleri, hata mesajları, IP adresleri, URL'ler) listeler. Özellikle şüpheli dosyalarda hardcoded string'leri yakalamak için kullanılır.
Özetle; dosyayı at, packer var mı bak, diline ve entropisine göz at, işin içinden çıkamazsan Strings ve Section kısımlarını kurcala. Zaten birkaç dosyada pratik yapınca elin direkt nereye bakması gerektiğini çözüyor.
Takıldığınız bir yer olursa sorun, beraber bakarız, Bugünlük sizlere anlatacaklarım bu kadar.
Uzun zamandır reverse engineering, malware analizi ya da sadece acaba bu dosya neyle yazılmış diye merak edenlerin elinin altında olması gereken joker tooldan bahsedeceğim: Detect It Easy
Neden DIE?
Çoklu Platform: Windows Linux ve macOS'te sorunsuz çalışıyor.Derinlemesine Analiz: Sadece hangi dille yazılmış demekle kalmıyor Entropy analizi, Hex, section bilgileri ve string taraması gibi ek özellikler de sunuyor.
Nasıl İndirilir?
Github Sayfasına girdikten sonra aşşağıya inerek "Download release beta" Seçeneğini görebilirsin. Basıp indirebilirsiniz herhangi bir kurulum gerekmeden açabilirsiniz.DİKKAT!
Uygulamayı sağ tıklayıp Yönetici Olarak çalıştırmayı unutmayalım aksi halde user medium modunda çalışmış olur bizim istediğimiz root yetkisinde çalışıp işlevini sorunsuz yerine getirebilmesi.Nasıl Kullanır!
1. Dosyayı İçeri Aktarma
En pratik yöntem incelemek istediğin dosyayı (EXE, DLL, APK veya neyse artık) direkt programın penceresine sürükleyip bırakmak. Bıraktığın an analiz biter.
2. Ana Ekran ve Temel Bilgiler
Dosyayı attıktan sonra ana ekranda karşına çıkan ilk yer özet ekranıdır. Burada dikkat etmen gerekenler:
File type: Dosyanın türünü söyler (PE32, ELF vb.)
Compiler: Hangi dille veya araçla derlendiğini gösterir (Visual Studio, GCC, Delphi vs.). Eğer dosya sıkıştırıldıysa ya da gizlendiyse burada doğrudan packer'ın adı yazar (UPX gibi).
3. Detaylı İnceleme Sekmeleri
Entropy: Grafikli bir kısımdır. Dosyanın içindeki verilerin ne kadar rastgele dağıldığını gösterir. Değer 7.5 ve üzerindeyse o kısım yüksek ihtimalle şifrelenmiştir veya paketlenmiştir. Malware analizinde "acaba burada packer mı var?" sorusunun ilk cevabı buradan alınır.
Sections : .text, .data, .rsrc gibi PE bölümlerini listeler. Her bölümün adresini, boyutunu ve okuma/yazma yetkilerini görürsün. Garip isimli ya da yetkileri anormal olan section'lar genelde şüphe uyandırır.
4. Dahili Araçlar
Hex Viewer: Dosyanın ham verisine bakmak istersen harici bir programa gerek kalmadan doğrudan içinden hex'e geçebilirsin.
Strings: Dosya içindeki okunabilir metinleri (fonksiyon isimleri, hata mesajları, IP adresleri, URL'ler) listeler. Özellikle şüpheli dosyalarda hardcoded string'leri yakalamak için kullanılır.
Özetle; dosyayı at, packer var mı bak, diline ve entropisine göz at, işin içinden çıkamazsan Strings ve Section kısımlarını kurcala. Zaten birkaç dosyada pratik yapınca elin direkt nereye bakması gerektiğini çözüyor.
Takıldığınız bir yer olursa sorun, beraber bakarız, Bugünlük sizlere anlatacaklarım bu kadar.
