[HaBo]

Aggress0r

abend @ all

Ich bräuchte mal n paar tipps.

Ich will den Source eines fertigen Programms (EXE-Datei) haben. Mit welchen Tools kann ich den Source bekommen?

Decompiler, Disassembler oder wie??



schonmal thx

Rushjo

@Aggress0r

Mit einem "Disassembler" bekommst Du, je nachdem ob die Datei nicht auch noch
gepackt (z.B. UPX) oder anders verschlüsselt ist, lediglich eine Disassemblat. Inwie
weit Du daraus dann "Funktionen" ableiten kannst, ist eine Frage Deines Assembler-
Wissens. Aber den Source-Code in C/C++ bekommst Du nicht. Ausnahme stellen dabei
Programme dar, die mit "Delphi" gecodet wurden. Weil hier der Disassembler "DeDe"
in der Lage ist, auch die Section wieder richtig zu rekonstruieren. Auch hier wird
nicht der "Delphi-Source-Code" angezeigt.

MfG Rushjo

Aggress0r

Wie kommen dann Hersteller von AntiViren-Software an den Quellcode von Viren?
(und die sind ja meistens EXE)

Rushjo

@Aggress0r

Also, die nutzen immer mehrere Methoden, um möglichst viel über die Viren heraus-
zufinden. Zum Einem beobachten sie das Verhalten der Viren in einer "Test-Umgebung", zum anderen suchen sie nach "Text-Strings" in den Viren wie
Botschaften etc. und dann man bei Viren, die selber in Assembler geschrieben
wurden sich schon das Disassemblat anschauen. Denn bei Programmen, die in Assembler
geschrieben wurden, entspricht das Disassemblat dem Assembler-Code (=Source).
Dies gilt aber nur, wenn das Programm nicht noch "gepackt" wurde oder mit einem
Tool wie "safe disc" geschützt, die gerade das einfache Betrachten/Manipulieren des
Disassemblat verhindern sollen. "safe disc" ist der Kopie-Schutz bei den meisten
modernen Computerspielen.
Das Hauptproblem bei "Reverse Engineering" ist, das sich aus einer fertigen Datei
bei Sprachen wie C/C++ nicht der Source wieder ermitteln läßt. Dies basiert auf der
sich immer leicht unterscheidenen Übersetzung der Befehle der "höheren Programmier-Sprachen".
Die kommt zu Stande durch die diversen Kompiler, Kompilerversionen etc. und sonstige
Eigenarten der jeweiligen Programmiersprache. Wenn es so einfach wäre, dann wäre
ja jeder bessere Coder in der Lage, einfach mal "Windows" in den "Soource" zu
überführen und damit wäre M$ Windows dann auch "open Source".

Ich habe übrigens bisher wenig gesehen, das AV-Firmen erzählen, sie hätten den
Source eines Virus bzw. Wurms?! Hast Du dazu mal eine Quelle? Würde mich mal
interessieren.

MfG Rushjo

Aggress0r

Na ja z.B. gibt es das Virus CIH, dürfte jeder kennen.

Die verschiedenen Varianten sind allesamt EXE-Anwendungen. Ich habe den Sourcecode von CIH im Netz gefunden.

Wie kam er dahin? )

Rushjo

@Aggress0r

Wahrscheinlich eher vom Author als von einer AV-Firma. Und wenn Du hier liest, wie
"CIH" in die "Wildnis" gelangt ist, dann kannste sicher sein, das sein Author ge-
faßt wurde.

Und der Virus war in "Assembler" gecodet, wie ich in meinen letzten Posting schon
erwähnte, eröffnet dies ganz andere Möglichkeiten als wenn er in C/C++ geschrie-
ben worden wäre.

MfG Rushjo

P.S. All this interesting informations are found with a little help of my wonderful
friend google.de.