Чемоданчик хакера

Крис Касперски, ака мыщъх

Хакер, номер #094, стр. 094-036-3

Для Visual Basic'а существует свои декомпиляторы, лучшим из которых считается VB Decompiler от GPcH (www.vb-decompiler.org/index.php?p=Products). Другие бейсик-декомпиляторы — VB RezQ (www.vbrezq.com/), VBDE (programmerstools.org/node/129) и Spices.Decompiler (programmerstools.org/node/635) — будет также полезно положить в свой хакерский чемоданчик.

Большой интерес представляют декомпиляторы инсталляторов, поскольку многие проверки производятся как раз на стадии инсталляции. Самый популярный инсталлятор — Install Shield. И вот куча декомиляторов к нему: InstallShield X Unpacker (programmerstools.org/node/154), Windows Installshield Decompiler (programmerstools.org/node/118), InstallShield Decompiler (programmerstools.org/node/114) и всякая мелочь типа isDcc (programmerstools.org/node/115).

Что же касается Java и платформы .NET, то с ними замечательно справляется IDA Pro, а если ее под рукой нет, то можно воспользоваться специализированными декомпиляторами, которые можно найти на сайтах www.cracklab.ru и www.wasm.ru вместе с декомпиляторами Fox Pro, Clipper'а и прочей экзотики.

Hex-редакторы

Давным-давно hex-редакторы представляли собой простые программы, умеющие всего лишь отображать двоичный файл в шестнадцатеричном виде и править байты по указанным адресам (кстати, вместо них часто использовался редактор диска Norton Disk Editor), но со временем они обросли дизассемблерами, ассемблерами, встроенными калькуляторами, функциями регулярного поиска, научились работать с блоками, понимать различные форматы файлов и даже расшифровывать/зашифровывать фрагменты кода/данных. В общем, эдакий швейцарский ножичек с шестнадцатью лезвиями.

Наибольшую популярность завоевал HIEW (webhost.kemtel.ru/~sen). Вплоть до версии 6.11 (поддерживающей MZ/PE/NE/LE/ELF-форматы) он распространяется на бесплатной основе, а теперь за него просят денежку, которую я лично платить не хочу и продолжаю пользоваться своей любимой 6.04, в которой гораздо меньше ошибок и багов.

Другой хороший редактор, по своим возможностям не только не уступающий hiew'у, но даже превосходящий его — это HTE (hte.sourceforge.net), распространяющийся в исходных кодах на бесплатной основе и в отличие от hiew'а позволяющий выбирать способ ассемблирования инструкции (если инструкция может быть ассемблирована более чем одним путем), а также поддерживающий мощную систему перекрестных ссылок, вплотную приближающий его к IDA Pro.

Западные хакеры во всю прутся от коммерческих WinHex'а (www.winhex.com/winhex/index-m.html) и Hex Workshop'а (www.bpsoft.com). Чего они в них нашли — непонятно. Ни ассемблера, ни дизассемблера в нем нет, и навряд ли появятся в дальнейшем, зато есть калькулятор контрольных и хэш-сумм (типа CRC16, CRC32, MD5, SHA-1), что в некоторых случаях оказывается очень удобным.