对msf生成的elf文件进行一次简单的逆向分析

灰太狼 2022-12-23 11:10 174阅读 0赞

### CATALOG ###

*  1.前言
 *  2.开始调试
 *  3.参考文章

# 1.前言 #

从没接触过这个技术点，今天刚好有机会接触，所以写一篇文章做个记录。

# 2.开始调试 #

我们先用msf生成一个elf文件：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]  
将其拖入IDA中进行静态分析并生成伪代码：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]  
按F5生成伪代码：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]  
分析伪代码可知V15是一个sockaddr的结构体，addr结构体中含有sa\_family与sa\_data，具体结构如下：

include <netinet/in.h> 
     
    struct sockaddr {  
      unsigned short  sa_family;  // 2 bytes address family, AF_xxx 
      char       sa_data[14];   // 14 bytes of protocol address 
    };

而sockaddr\_in与sockaddr几乎是一样的，可以通过sockaddr\_in来分析sockaddr中的数据：

struct sockaddr_in {  
      short      sin_family;    // 2 bytes e.g. AF_INET, AF_INET6 
      unsigned short  sin_port;  // 2 bytes e.g. htons(3490) 
      struct in_addr  sin_addr;   // 4 bytes see struct in_addr, below 
      char       sin_zero[8];   // 8 bytes zero this if you want to 
    };

我们已知sockaddr内部存的数据也就是v15为`7B7BA8C00F270002`，又知道根据小端存储的规则可知：

1.  sin\_family = 0200 = AF\_INET
2.  sin\_port = 270F = 9999
3.  sin\_addr = C0A87B7B = 192.168.123.123  
    跟我们之前生成木马的时候输入的ip地址与端口号一致，至此分析结束。

# 3.参考文章 #

[逆向入门（1）：Linux下动态调试文件][1_Linux]  
[Linux C中sockaddr和sockaddr\_in的区别][Linux C_sockaddr_sockaddr_in]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/fed5cd194a5b4202a597a2fea215bed4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20201125151145681.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]: https://img-blog.csdnimg.cn/20201125124948845.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70#pic_center
[1_Linux]: https://blog.csdn.net/u010334666/article/details/82150233
[Linux C_sockaddr_sockaddr_in]: https://www.jb51.net/article/117902.htm