binary-re-dynamic-analysis
Binärdateien mit dynamischer Laufzeitverfolgung analysieren
Sicherheitsforscher müssen das tatsächliche Verhalten von Binärdateien zur Laufzeit beobachten, nicht nur statischen Code. Diese Fähigkeit bietet sichere, Sandbox-Ausführung mit QEMU-Emulation, GDB-Debugging und Frida-Hooking zum Verfolgen von Syscalls, Inspizieren von Speicher und Validieren von Reverse-Engineering-Hypothesen.
下載技能 ZIP
在 Claude 中上傳
前往 設定 → 功能 → 技能 → 上傳技能
開啟並開始使用
測試它
正在使用「binary-re-dynamic-analysis」。 Führe diese Binärdatei mit QEMU strace aus und sage mir, auf welche Dateien sie zugreift
預期結果:
Binärdatei mit QEMU-Benutzer-Modus-Emulation mit Syscall-Verfolgung ausgeführt. Beobachtete Dateizugriffsmuster:
- Lesen: /etc/config.json (Konfigurationsdaten)
- Schreiben: /var/log/app.log (Protokollausgabe)
- Lesen: /usr/lib/libssl.so (SSL-Bibliotheksabhängigkeit)
Keine Netzwerk-Syscalls erkannt. Binärdatei scheint ein lokaler Konfigurationsprozessor zu sein.
正在使用「binary-re-dynamic-analysis」。 Verwende Frida, um die Funktion authenticate() zu hooken und zeige mir, welches Passwort sie überprüft
預期結果:
Frida mit Binärdatei verbunden und authenticate()-Funktion bei Offset 0x2a40 abgefangen. Erfasstes Argument beim Aufruf: Passwort-Puffer enthält "admin123". Funktion gibt 1 (Erfolg) zurück, wenn dieser Wert übereinstimmt, sonst 0. Dies scheint eine hartcodierte Authentifizierungsprüfung zu sein.
正在使用「binary-re-dynamic-analysis」。 Debugge diese Binärdatei mit GDB und untersuche den Speicher am Stack-Pointer, wenn main() startet
預期結果:
Binärdatei unter QEMU mit GDB-Server auf Port 1234 gestartet. Breakpoint bei main()-Symbol gesetzt. Ausführung bei 0x000084c0 pausiert. Stack-Pointer (sp) ist bei 0xbefff7a0. Speicherauszug zeigt:
0xbefff7a0: argc=2
0xbefff7a4: argv-Zeiger
0xbefff7a8: Umgebungsvariablen
Stack ist korrekt für ARM ABI ausgerichtet.
安全審計
低風險This is a legitimate security research and reverse engineering skill for authorized binary analysis. All static findings are false positives related to documentation examples showing proper use of analysis tools. The skill requires explicit human approval before executing any binaries and emphasizes sandbox isolation. No malicious patterns detected.
低風險問題 (1)
風險因素
⚙️ 外部命令 (3)
📁 檔案系統存取 (2)
品質評分
你能建構什麼
Malware-Analyse in Sandbox
Sicherheitsanalysten können verdächtige Binärdateien sicher in isolierten QEMU-Umgebungen ausführen, um Netzwerkverhalten, Dateimodifikationen und Syscall-Muster zu beobachten, ohne das Hostsystem zu gefährden.
Cross-Architecture-Firmware-Debugging
Entwickler von eingebetteten Systemen können ARM- oder MIPS-Binärdateien auf x86-Entwicklungsmaschinen mit QEMU-Emulation und GDB debuggen, sodass physische Hardware während der Analyse nicht erforderlich ist.
Reverse Engineering geschützter Binärdateien
Penetration-Tester können Frida-Hooks verwenden, um kryptografische Funktionen, Authentifizierungsprüfungen und Netzwerkprotokolle in kompilierten Anwendungen abzufangen, um ihr Verhalten zu verstehen und Schwachstellen zu finden.
試試這些提示
Verwende QEMU, um diese ARM-Binärdatei auszuführen und alle Syscalls zu verfolgen, um zu identifizieren, welche Netzwerkverbindungen sie herstellt
Starte diese Binärdatei unter QEMU mit verbundenem GDB, setze einen Breakpoint bei Adresse 0x8400 und zeige mir den Registerzustand, wenn sie erreicht wird
Erstelle ein Frida-Skript, um alle connect()-Aufrufe in dieser Binärdatei abzufangen und die IP-Adressen und Ports zu protokollieren, die sie zu erreichen versucht
Führe diese ARM32-Binärdatei in einem Docker-Container auf macOS mit Plattformemulierung aus und erfasse alle Bibliotheksladeereignisse mit LD_DEBUG
最佳實務
- Hole immer explizite menschliche Genehmigung ein, bevor du irgendeine Binärdatei ausführst, und dokumentiere die verwendete Sandbox-Konfiguration
- Beginne mit QEMU-Syscall-Verfolgung vor tieferer Analyse, um das Verhalten auf hoher Ebene sicher zu verstehen
- Verwende Netzwerkisolation in Sandbox-Umgebungen beim Analysieren von Binärdateien mit unbekanntem Netzwerkverhalten
避免
- Ausführen unbekannter Binärdateien ohne Sandbox-Isolierung oder auf Produktionssystemen
- Versuchen, Frida mit QEMU-Benutzer-Modus-Emulation zu verwenden (Architekturkonflikt wird fehlschlagen)
- Verwenden von /tmp-Verzeichnispfaden für Docker-Volume-Mounts auf Colima (schlägt stillschweigend fehl, verwende stattdessen das Home-Verzeichnis)