Reverse Engineering: анализ стандартных функций в дизассемблировании

Знание и распознавание этих функций критически важно:

• для сокращения времени анализа;
• для распознавания поведения программы;
• для идентификации точек взаимодействия с ОС и API;
• для обхода обфускации и упаковки.

Эти функции запускают основную программу.

Обычно после запуска этих функций вызывается `main` или `WinMain`.

mov ecx, [esp+8]    ; длина копируемых данных
mov esi, [esp+4]    ; источник
mov edi, [esp]      ; назначение
rep movsb           ; копирует ECX байт из ESI в EDI

push 0               ; MB_OK
push offset szTitle ; "Hello"
push offset szText  ; "World"
push 0               ; NULL hWnd
call MessageBoxA

• Используются в IDA, Ghidra, Binary Ninja — с помощью FLIRT-сигнатур (Fast Library Identification and Recognition Technology)
• Позволяют автоматически распознать стандартные функции по шаблонам байт-кода

• Поведение можно наблюдать в отладчике:
  • Параметры передаются через стек или регистры (в зависимости от calling convention)
  • Возвращаемое значение — обычно в `EAX`/`RAX`

• Не тратьте время на стандартные функции — если распознана `memcpy`, переходите к тому, что она копирует
• Отмечайте часто встречающиеся шаблоны — например, `push 0; call ExitProcess`
• Используйте cross-references (XREFs) — для поиска, где вызывается данная функция
• Анализируйте не только функции, но и их аргументы — например, вызов `VirtualAlloc` с флагами `0x1000` и `0x40` часто указывает на исполнение shellcode

Понимание стандартных функций, их сигнатур и поведения критически важно при дизассемблировании. Это позволяет быстро отбрасывать «лишнее» и фокусироваться на пользовательской логике или вредоносной нагрузке. Используйте автоматические средства распознавания, сопоставление аргументов и следите за контекстом вызовов.

• https://ghidra-sre.org/
• https://x64dbg.com/
• https://learn.microsoft.com/en-us/windows/win32/api/
• https://man7.org/linux/man-pages/
• https://reverseengineering.stackexchange.com/
• https://www.hex-rays.com/products/ida/