É possível "descompilar" uma janela.exe? Ou pelo menos ver a Assembleia?

O excelente post de Psoul responde à sua pergunta para não replicar o seu bom trabalho, mas acho que ajudaria a explicar porque é uma pergunta perfeitamente válida, mas também terrivelmente tola. Afinal, este é um lugar para aprender, certo? Os programas de computador modernos são produzidos através de uma série de conversões, começando com a entrada de um corpo legível de instruções de texto (chamado "código fonte") e terminando com um corpo legível por computador de instruções (chamado alternativamente "código binário "ou"código Máquina"). A forma como um computador executa um conjunto de instruções de código de máquina é, em última análise, muito simples. Cada ação que um processador pode tomar (por exemplo, ler da memória, adicionar dois valores) é representada por um código numérico. Se eu lhe dissesse que o número 1 significava gritar e o número 2, significava a rir, e, então, levantou cartões com 1 ou 2 no-los esperando você para gritar ou rir assim, eu estaria usando o que é essencialmente o mesmo sistema de um computador usa para operar.

Um ficheiro binário é apenas um conjunto desses códigos (normalmente chamado de "códigos de op") e a informação ("argumentos") em que os códigos de op actuam.

Agora, linguagem assembly é uma linguagem de computador onde cada palavra de comando na linguagem representa EXATAMENTE um código op no processador. Há uma tradução direta 1: 1 entre um comando de linguagem assembly e um op-code de processador. É por isso que o conjunto de codificação para um processador x386 é diferente do conjunto de codificação para um braço processador.

Desmontagem é simplesmente isto: um programa lê através do binário( o código da Máquina), Substituindo os códigos op por seus comandos de linguagem de montagem equivalentes, e retorna o resultado como um arquivo de texto. É importante entender isso; se seu computador pode ler o binário, então você pode ler o binário também, quer manualmente com uma tabela de código op em sua mão (ick) ou através de um desmontador.

Os desmontadores têm alguns truques novos, mas é importante entender. que um desmontador é, em última análise, um mecanismo de busca e substituição. É por isso que qualquer EULA que a proíba está a soprar ar quente. Você não pode permitir que o computador leia os dados do programa e também proibir que o computador leia os dados do programa. Não me interpretes mal, houve tentativas para o fazer. Eles trabalham bem como DRM em arquivos de música.) No entanto, há algumas reservas quanto à abordagem de desmontagem. Nomes variáveis são inexistentes; tal coisa não existe para o seu PROCESSADOR. As chamadas da biblioteca são confusas como o inferno e muitas vezes requerem desmontagem de binários adicionais. E a montagem é difícil de ler nas melhores condições. A maioria dos programadores profissionais não consegue ler a linguagem de montagem sem ter dores de cabeça. Para um amador, não vai acontecer. De qualquer forma, esta é uma explicação um pouco encoberta, mas espero que ajude. Todo mundo pode se sentir livre para corrigir quaisquer erros da minha parte; já faz um tempo. ;)

Qualquer depurador decente consegue fazer isto. Tente OllyDbg . (edit: que tem um grande desmontador que até descodifica os parâmetros para as chamadas WinAPI!)

Boas notícias. IDA Pro é realmente livre para suas versões mais antigas agora: http://www.hex-rays.com/idapro/idadownfreeware.htm

x64dbg é um depurador de código aberto e bom que é mantido ativamente.

Claro, dê uma olhada em IDA Pro . Eles oferecem uma versão eval para que você possa experimentá-lo.

Se você está apenas tentando descobrir o que um malware faz, pode ser muito mais fácil executá-lo sob algo como a ferramenta livre Monitor de Processo que irá relatar sempre que tentar acessar o sistema de arquivos, registro, portas, etc...

Também, usar uma máquina virtual como o servidor de VMWare livre é muito útil para este tipo de trabalho. Você pode fazer uma imagem "limpa", e, em seguida, voltar a isso sempre que você executar o malware.

O que você quer é um tipo de software chamado "desmontador".

O google rápido produz isto: http://www.geocities.com / ~sangcho/disasm.html

Você pode obter alguma informação visualizando-a em montagem, mas eu acho que a coisa mais fácil a fazer é ligar uma máquina virtual e ver o que ela faz. Certifique-se de que não tem acções abertas ou algo do género que possa saltar ;)

Boomerang também pode valer a pena verificar.

Se você deseja executar o programa para ver o que ele faz sem infectar o seu computador, use com uma máquina virtual como VMWare ou Microsoft VPC, ou um programa que pode sandbox do programa como SandboxIE

Se não tiver tempo, submeta o malware à cwsandbox:

Http://www.cwsandbox.org/

Http://jon.oberheide.org/blog/2008/01/15/detecting-and-evading-cwsandbox/

HTH

Ainda não acredito que ninguém disse nada sobre o Depurador de imunidade.

Depurador de imunidade é uma ferramenta poderosa para escrever façanhas, analisar malware e engenharia reversa arquivos binários. Foi inicialmente baseado no código fonte Ollydbg 1.0, mas com os nomes de erro de re-lançamento fixo. Ele tem uma API Python bem suportada para uma fácil extensibilidade, então você pode escrever seus scripts python para ajudá-lo na análise.

Além disso, há uma boa que o Peter da equipa Corelan escreveu. chamado mona.py , excelente ferramenta btw.

Você pode usar o dotPeek, muito bom para descompilar o arquivo exe. É de graça.

Https://www.jetbrains.com/decompiler/

A suite explorer pode fazer o que quiser.