第01课：逆向工程概述

📍 【基础概念 1-5】 | 逆向工程系列课程

🎯 什么是逆向工程

逆向工程（Reverse Engineering）是指通过对已有的软件、硬件或系统进行分析，推导出其设计思路、内部结构和工作原理的过程。在软件领域，逆向工程通常指从编译后的二进制可执行文件中还原出程序的逻辑、算法和数据结构。这是信息安全领域最核心的技能之一，广泛应用于漏洞挖掘、恶意软件分析、CTF竞赛和安全审计。

📜 逆向工程的历史演进

🔍 逆向工程的分类体系

🛠️ 逆向工程工具链概览

💻 实操：环境搭建与基础命令

1. 确认系统环境

# 检查操作系统版本
$ uname -a
Linux VM-4-3-ubuntu 6.8.0-101-generic # x86_64 GNU/Linux

# 检查CPU架构
$ lscpu | head -5
Architecture:            x86_64
CPU(s):                  4
Thread(s) per core:      1
Vendor ID:               AuthenticAMD

# 检查内存
$ free -h | head -2
              total        used        free
Mem:          3.8Gi       1.2Gi       2.0Gi

2. 安装逆向分析工具

# 安装基础二进制分析工具
$ apt-get update && apt-get install -y binutils gdb strace ltrace file
✅ 验证通过：binutils包含objdump/readelf/strings等核心工具

# 验证各工具安装
$ objdump --version | head -1
GNU objdump (GNU Binutils) 2.38

$ gdb --version | head -1
GNU gdb (GDB) 12.1

$ readelf --version | head -1
readelf (GNU Binutils) 2.38

$ strace --version | head -1
strace -- version 6.3

$ file --version | head -1
file-5.44

✅ 验证通过：所有核心工具安装成功

3. 第一个逆向分析：/bin/ls

# file命令：识别文件类型（逆向第一步）
$ file /bin/ls
/bin/ls: ELF 64-bit LSB pie executable, x86-64, version 1 (SYSV),
dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2,
for GNU/Linux 3.2.0, stripped

✅ 验证通过：file命令成功识别ELF文件格式和架构信息

# strings命令：提取可读字符串（信息收集利器）
$ strings /bin/ls | head -30
/lib64/ld-linux-x86-64.so.2
libc.so.6
puts
strlen
malloc
realloc
free
__libc_start_main
GLIBC_2.2.5
GLIBC_2.34
...
✅ 验证通过：strings提取出动态链接库和函数名

# 搜索特定功能线索
$ strings /bin/ls | grep -i "usage\|help\|version\|error"
Usage: %s [OPTION]... [FILE]...
      --version  output version information and exit
Try '%s --help' for more information.
✅ 验证通过：从字符串快速了解程序功能

# readelf：查看ELF头信息（深入分析）
$ readelf -h /bin/ls
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  Type:                              DYN (Position-Independent Executable)
  Machine:                           Advanced Micro Devices X86-64
  Entry point address:               0x6a10
  Start of program headers:          64 (bytes into file)
  Start of section headers:          143648 (bytes into file)
  Flags:                             0x0
  Size of this header:               64 (bytes)
  Size of program headers:           56 (bytes)
  Number of program headers:         13
  Size of section headers:           64 (bytes)
  Number of section headers:         31
  Section header string table index: 30
✅ 验证通过：readelf成功解析ELF头部信息

# objdump：反汇编入口点
$ objdump -d /bin/ls | head -30
/bin/ls:     file format elf64-x86-64
Disassembly of section .init:
0000000000003a90 <.init>:
    3a90:	f3 0f 1e fa          	endbr64
    3a94:	48 83 ec 08          	sub    $0x8,%rsp
    3a98:	48 8b 05 f9 7d 01 00 	mov    0x17df9(%rip),%rax
    ...
✅ 验证通过：objdump成功反汇编ELF二进制

📚 关键概念详解

# 对比stripped和unstripped
$ file /bin/ls
/bin/ls: ... stripped

$ file /usr/bin/ls.coreutils  # 未strip的版本（如果存在）
/usr/bin/ls.coreutils: ... not stripped

# 对比符号表
$ nm /bin/ls 2>&1 | head -3
nm: /bin/ls: no symbols

$ nm /usr/bin/ls.coreutils 2>/dev/null | head -5
0000000000003a90 T _init
0000000000003b00 T _start
0000000000003f40 T main
...
✅ 验证通过：stripped版本无符号信息，not stripped版本有完整符号表

⚖️ 法律与伦理边界

🏋️ 课后练习