АНБ открыло доступ к одному из своих инструментов для реверс-инжиниринга

В настоящее время инструментарий Ghidra доступен только на официальном сайте ведомства.

АНБ открыло доступ к одному из своих инструментов для реверс-инжиниринга АНБ, Программа, Реверс-инжиниринг, Хакеры, Взлом, США

Агентство национальной безопасности (АНБ) США обнародовало инструмент под названием Ghidra, который ведомство уже в течение 10 лет использует для проведения обратного инжиниринга. В настоящее время программа доступна только на официальном сайте АНБ, однако агентство намерено в ближайшем будущем разместить исходный код инструмента на GitHub.


Проект активно применяется спецслужбами США для выявления закладок, анализа вредоносного кода, изучения различных исполняемых файлов и разбора скомпилированного кода. Ghidra обладает сходными возможностями с расширенной версией проприетарного пакета IDA Pro, но рассчитан исключительно на анализ кода и не содержит отладчик.


Код Ghidra написан на языке Java, инструмент включает графический интерфейс и может работать на устройствах под управлением Windows, macOS и Linux. Для работы интерфейса требуется наличие Java Development Kit (версия 11 или более поздние).


Примечательно, спустя всего несколько минут после публикации инструментария, эксперты обнаружили уязвимость в реализации серверного компонента . Проблема заключается в том, что Ghidra открывает сетевой порт 18001 для удаленной отладки приложения по протоколу JDWP (Java Debug Wire Protocol). По умолчанию сетевые соединения принимались на всех доступных сетевых интерфейсах, а не на 127.0.0.1, что предоставляло возможность подключиться к Ghidra с других систем и выполнить любой код в контексте приложения. Как отмечается, проблему легко исправить – для этого потребуется всего лишь изменить строку кода.


https://ghidra-sre.org

https://twitter.com/hackerfantastic/status/11030878690637045...

https://www.securitylab.ru/news/498229.php

Информационная безопасность IT

1.4K постов25.5K подписчиков

Добавить пост

Правила сообщества

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда "Какой-то банк слил данные, потому что мне звонили мошенники" будут выноситься в общую ленту.
2. Все вопросы "Как обезопасить сервер\приложение\устройство" - в лигу "Компьютер это просто".

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.


Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

Вы смотрите срез комментариев. Показать все
23
Автор поста оценил этот комментарий
Думаете это случайный баг?
раскрыть ветку (10)
10
Автор поста оценил этот комментарий
Глупо в такой вещи такой баг делать специально, либо был расчет на коротковременное время действия, т.к. это специфичный продукт, расчитанный на аудиторию ищущую эти баги)
раскрыть ветку (1)
7
Автор поста оценил этот комментарий

Может быть и так. А вдруг тут эффект "не могу прекратить воровать" ?

характир_такий.jpg   в общем.

5
Автор поста оценил этот комментарий

Если прога юзалась в закрытой сети, что вполне вероятно, то это не баг, а фича.

раскрыть ветку (2)
Автор поста оценил этот комментарий

Скорее, просто забили хуй.

См. #comment_135518279

Автор поста оценил этот комментарий

В любом случае, точно мы об этом ничего не узнаем.

2
Автор поста оценил этот комментарий

С большой вероятностью таки да: когда тамошние индусы заполняли struct sockaddr{} для вызова bind() - буфер обнулили, а адрес выставить в INADDR_LOOPBACK забыли. А то, что набор нулей воспринимается как INADDR_ANY, могли и вообще не знать.

раскрыть ветку (3)
4
Автор поста оценил этот комментарий

Я мало что понял. Тут все на эльфийском )))

раскрыть ветку (2)
3
Автор поста оценил этот комментарий

Перевожу: индусы наиндусили индусню.

раскрыть ветку (1)
1
DELETED
Автор поста оценил этот комментарий

Просто индус-триальный код.

1
Автор поста оценил этот комментарий

явно специальная фича

Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку