دورة الهندسة العكسية من الصفر حتى الاحتراف

[ehab85]

الدرس الثالث- ب

8- ادوات Packing/ Unpacking.
Packing: هي عملية تعبئة او تغليف الملفات التنفيذية وضغطها واما عملية فك التعبئة تسمى (unpacking) وتتم من قبل نفس ملف exe، وهناك عدة برامج تسمى packers تقوم بهذة العملية مثل:

 NeoLite:

• أداة مجانية توفر ضغطًا جيدًا مع الحفاظ على وظائف الملف.
  
• تدعم أيضًا ملفات COM و OCX.
  

PECompact:

• أداة قوية توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

UPX:

• أداة مجانية و مفتوحة المصدر توفر ضغطًا جيدًا مع سهولة الاستخدام.
  
• تدعم أيضًا ملفات PE و COFF.
  

Shrinker:

• أداة مجانية توفر ضغطًا جيدًا مع إمكانيات إضافية مثل إزالة الموارد غير المستخدمة.
  
• تدعم أيضًا ملفات COM و OCX.
  

PKLite32:

• أداة مدفوعة توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

AS-Pack:

• أداة مدفوعة توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات BPL و DPL.
  

WWPack 32:

• أداة مدفوعة توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

PEBundle:

• أداة مجانية توفر ضغطًا جيدًا مع إمكانيات إضافية مثل ضم الملفات المتعددة في ملف واحد.
  
• تدعم أيضًا ملفات SYS و SCR.
  

Crunch:

• أداة مجانية و مفتوحة المصدر توفر ضغطًا جيدًا مع سهولة الاستخدام.
  
• تدعم أيضًا ملفات ELF و Mach-O.
  

Fusion:

• أداة مدفوعة توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

PE-PaCK:

• أداة مدفوعة لحزم توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

PE Diminisher:

• أداة مدفوعة توفر ضغطًا ممتازًا مع إمكانيات متقدمة مثل التشفير وحماية الذاكرة.
  
• تدعم أيضًا ملفات SYS و SCR.
  

ما الهذف من هذه العملية ؟

1. التقليل من حجم الملف التنفيذي exe.
   
2. اخفاء البيانات وتعميتها، خاصة في حالة البرامج الضارة لمنع اكتشافها.
   

Unpacking: هي عكس عملية packing، حيث تقوم دالة فك الضغط باستعادة البيانات الاصلية من الملف التنفيذي وتستخدم اداة OllyDbg مع اضافة OllyDump لفعل ذلك بشكل يدوي، وفي بعض الحالات يكفي فتح الملف بـاداة Pe.explorer وحفظة.
 

كيف نعرف اذا البرنامج packed او لا، وكيف نحدد نوعه؟
نستطيع اكتشاف نوع لغة البرمجة التي كتب بها البرنامج، وكذلك نوع اداة التشفير التي استخدمت لتشفير البرنامج، عن طريق احد ادوات فحص PE مثل اداة: exeinfo pe او PEiD او Detect It Easy او RDG Packer Detector او FastScanner.
 

ينقسم فك الحماية إلى:
أ- الفك الآلي: باستخدام برامج تقوم بشكل آلي بفك تشفير وبالتالي توفر عليك الجهد والوقت ولا تتطلب معرفة بطرق التشفير وفكها، وكل اداة متخصصة في فك تشفير معين.
ب- الفك اليدوي: تتطلب منك معرفة وجهد ووقت وصبر وهناك العديد من الطرق والبرامج المساعدة في محاولة كسر التشفير منها Olly.

ملاحظة: يمكن استخدام HexEditor الذي يمكنك من تحرير (تعديل) البرنامج مباشرة دون أي عوائق، كما يمكنك إستخدامه للكتابة على البرامج المشفرة لأنها تكون محمية من التعديل عليها، ويمكنك زرع الاكواد التي تريد.

هناك طرق آخرى مستخدمة في تجاوز حماية البرامج منها تفريغ الذاكرة (Memory dump) او فك الجهاز وتوصيل اسلاك الى المعالج او الذاكرة للوصول الى البيانات بصيغتها الغير مشفرة وقراءتها عن طريق برنامج متبث في كمبيوتر يقوم باعادة بناء البرنامج.

[mostafakamel]

بارك الله فيك الاخ ايهاب ارجو اكمال هذه السلسة عظيمة

[A14A14]

((( إقرأ ))) الكتاب الأول و الثاني بالإضافة إلى الأعداد 9 للمجلة

بعدما تنهي ((( القراءة ))) هناك صفحة و إسطوانتين للمبتدئين

بشكرا لك اااخي وفقك الله