Ghidraの操作メモ - Windowメニュー(その4) - | reverse-eg-mal-memoのブログ

reverse-eg-mal-memoのブログ

サイバーセキュリティに関して、あれこれとメモするという、チラシの裏的存在。
medium(英語):https://sachiel-archangel.medium.com/

●Data Type Preview

データの型と、それに格納されているデータの表示例の模様。

・・・うーん、使うかな?コレ。

 

 

 

Decompile

解析対象のアセンブラコードに対応するCコードを表示します。

また、選択したListingのアセンブラコードに対応したCコードをマークアップ表示します。

逆に、選択したCコードに対応したListingのアセンブラコードをマークアップ表示します。

個人的には、今回このツールで最も優れた機能だと思っています。というかこれは凄い。これを無料で使えるとか、頭おかしいんじゃないかというくらい凄い。

アセンブラコードで見るより、やはりCコードで見たほうが、何をしようとしているか把握しやすいです。

それだけならまだしも、相互にコードの関係性が見れるのが凄い。例えば、Cコードで大まかに把握して、if文の中身でやっている処理はアセンブラでは実際どうなのか、といった見方も可能となります。

 

 

実際に、ListingとDecompileの画面を並べたものがこちら。

画像は範囲選択の場合ですが、カーソルで選択すると、その変数に対応した部分だけを表示することもあります。

ブログの画面ではどうしても小さくなってしましますが、画像のようにアセンブラのコードとCコードの対応が取られます。

C言語が分かる解析者なら、解析が随分捗るんじゃないかと思います。

 

 

 

●Defined Data

分析の結果、パラメータが格納されていると判断されたアドレス、データの型と値を表示します。

参照されるだけの定義値のほか、スタティック変数の格納領域も含まれているようにも見えます。

(ヘルプを読みましたが、そこはイマイチ確信が持てないという。)

解析時に、定義値を確認するために使うことはありそうです。

デバッガ機能があり、動的にここが変更されるのであれば、使いようによっては大きな威力を発揮しそうなのですがね。