Si te encuentras en la necesidad, por el motivo que sea, de tener que acceder al código fuente de una aplicación Java y obviamente no tienes acceso al mismo, la mejor opción en la mayoría de los casos es usar un decompilador. Por la naturaleza de la arquitectura del lenguaje Java, a menos que la aplicación que tenemos entre manos haya sido ofuscada, el resultado de la decompilación suele ser bastante precisa, con quizás algunas excepciones.

Con esta entrada, intento recuperar el flujo de entrevistas a personas que de alguna manera, me aportan y hacen crecer en lo técnico y en lo humano. Esta vez, lo haremos de la mano de Sergio Llata (@sergiollata) a.k.a. thEpOpE, fue parte importante en grupos de mucha importancia tales como TNT o WKT.

Hoy vamos a tratar de conseguir movimientos ilimitados en Candy Crush Soda Saga, de King. Para ello iniciamos inspeccionando el APK con Java Decompiler, tras pasarlo por dex2jar.

Una de las técnicas más utilizadas en sistemas UNIX para analizar o modificar el comportamiento de una aplicación es la de precargar una libreria para hacer que el linker priorize nuestros funciones en vez de las disponibles en librerias externas.

Muchas veces, cuando hemos de hacer ingeniería inversa a algún tipo de software o intentar explotarlo, nos damos cuenta de que las herramientas que están a nuestro alcance se ven limitadas debido a uno u otro motivo. Es en estos casos en los que el hecho de saber programar y trabajar con herramientas que se puedan extender fácilmente nos permitirá seguir haciendo nuestro trabajo, a la vez que podemos aportar nuestro granito de arena a la comunidad liberando aquello que desarrollemos.

Ingeniería inversa para principiantes (en inglés 'Reverse Engineering for Beginners') es un libro gratuito de Dennis Yurichev dirigido a todos aquellos que quieran aprender a entender el código x86 (que representa la mayor parte de ejecutables en el mundo del software) y ARM creado por compiladores C/C++.

Para aprender a hacer ingeniería inversa es necesario estar familiarizado con el lenguaje ensamblador,y el uso de un debugger, y sobre todo paciencia y practica mucha practica , si bien no es una tarea imposible suele ser difícil para los principiantes, pues cuando se programa en un lenguaje alto nivel cuando se utilizan sentencias propias del lenguaje, librerías y facilidades se realizan muchas tareas por atrás.

CEnigma is more user-friendly, lighter, faster & backed by Capstone, the most updated disassembly engine available. Thanks to Capstone, 8 architectures are supported: X86, Arm, Arm64, Mips, PowerPC, Sparc, SystemZ & XCore.

The IDA Disassembler and debugger is a multi-processor disassembler and debugger hosted on the Windows, Linux and Mac OS X Platforms. It was tough and it required even more research than was planned but finally it arrived. The 64-bit decompiler for x64 code is as simple to use as our other decompilers, and fast as well.

Llevo tiempo con ganas de profundizar en la creación de módulos de Metasploit, y por fin me decidí a realizar una prueba de concepto orientada a la explotación de una vulnerabilidad detectada realizando reversing de una aplicación en arquitectura x86. El caso es que por el camino encontré una dificultad basada en las rutas de ejecución que me ha parecido interesante comentar como capítulo previo a escribir el módulo de Metasploit.

Hace un par de días pasaron por mis manos unos servidores frescos de la botnet Zeus, estos venían cifrados por Crypters. La utilización de Crypters es una práctica muy común para evitar las detecciones antivirus, pero que no solo dificultan este trabajo, sino también el de los reversers que tratan de identificar el tipo de malware que se encuentra detrás del ejecutable cifrado. Servicios como Intelligence de Virustotal ponen a nuestro alcance todo el poder de los patrones YARA.

¿Alguna vez quisiste enviar un comentario de texto en binario...pero no sabes como hacerlo? Bueno, no busques más. [sic]..."me dolía el cerebro cuando la hice y todavía tengo una ligera resaca"...enjoy it!

This tool lets you search your gadgets on your binaries to facilitate your ROP exploitation. ROPgadget supports ELF/PE/Mach-O format on x86, x64, ARM, PowerPC, SPARC and MIPS architectures. Since the version 5, ROPgadget has a new core which is written in Python using Capstone disassembly framework for the gadgets search engine. Note that the new version doesn't implement the auto-roper yet! GitHub (v5.0 - 17-04-2014). github.com/JonathanSalwan/ROPgadget/

The radare project started in February of 2006 aiming to provide a Free and simple command line interface for an hexadecimal editor supporting 64 bit offsets to make searches and recovering data from hard-disks. Since then, the project has grown with the aim changed to provide a complete framework for analyzing binaries with some basic *NIX concepts in mind like everything is a file, small programs that interact together using stdin/out or keep it simple.

Editor hexadecimal online

Ilfak Guilfanov, el creador de IDA Pro, ha anunciado que el famoso decompilador de Hex-Rays esta casi listo para decompilador codigo x64, aunque todavia quedan algunos problemas que resolver.

Dado que, al realizar reversing, la cantidad de instrucciones de un programa puede ascender a los cientos de miles, resulta muy poco práctico realizar un análisis instrucción por instrucción. Por eso, se hace necesario lograr cierto nivel de abstracción en el proceso; con un poco de práctica podemos acostumbrarnos a ver un amplio panorama de lo que hace el código, mediante el análisis de grupos de instrucciones en lugar de instrucciones individuales

WinDbg es una aplicación distribuida en la web de Microsoft. Se puede utilizar para depurar en modo de usuario las aplicaciones, los controladores y el sistema operativo en modo kernel. WinDbg se puede utilizar para la depuración de volcados de memoria y también tiene la capacidad de cargar de forma automática lo que se llama 'mapa de símbolos' traduciendo fechas, horas, CRCs haciendo coincidir diversos criterios. Otra de las ventajas es que pueden relacionarse con el código fuente del binario.

Simulador de ensamblador de 8 bits. Está basado en NASM, provee una sintaxis simplificada y emula el funcionamiento de un procesador x86. La CPU obviamente es de 8 bits y además disponemos de un mapa de memoria de 256 bytes, así como de 4 registros de propósito general. Las instrucciones y los operadores ocupan 1 byte. Como en otras ocasiones, este simulador está escrito en HTML/Javascript, por lo que todo lo que necesitas para jugar con él es un navegador moderno. (ref. www.cyberhades.com/2014/03/28/simulador-de-ensamblador-de-8-bits/)

Pyringe es un depurador (debugger) en Python capaz de adjuntarse a procesos activos, leer su estado e incluso inyectar código python mientras que estos están corriendo. Puedes además listar hilos (threads), rutas (tracebacks), inspeccionar funciones locales, globales, etc.

Con permiso de Microsoft, el "Computer History Museum" ha liberado el listado fuente de Microsoft DOS v1.1 y v2.0. El archivo zip contiene 4 directorios: v11source: 7 listados en ensamblador, incluye un email de Tim Paterson con algunas explicaciones. v11object: 27 ficheros, incluye binarios y programas de ejemplo. v20source: 118 ficheros de texto, la mayoria codigo en ensamblador y documentacion. v20object: 38 ficheros, incluye mas binarios y documentacion.

Excelente articulo tecnico que explica como conseguir ejecutar codigo en la Nintendo 3DS a partir de un buffer overflow.