Seminar Ghidra Advanced Reverse Engineering und Decompiler-Optimierung

Inhaltsübersicht

• Beschreibung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Arbeitsschritte
• Arbeitsweise im Seminar

Beschreibung

Dieses Aufbauseminar behandelt die präzise Arbeit mit komplexen Binärprogrammen. Im Mittelpunkt stehen Funktionsgrenzen, Typinformationen, Speicherstrukturen, Kontrollfluss und die Verbesserung der Decompiler-Ausgabe. Die Teilnehmenden arbeiten mit vorbereiteten Analyseobjekten, dokumentieren Annahmen und lernen, zwischen belastbaren Erkenntnissen und bloßen Decompiler-Vermutungen zu unterscheiden.

Zielgruppe

Reverse Engineers, IT-Sicherheitsanalysten, Malware-Analysten, Entwickler mit Analyseaufgaben und Administratoren in sicherheitskritischen Umgebungen

Voraussetzungen

Sichere Ghidra-Grundlagen, Grundkenntnisse in C oder C++, Assembler-Grundlagen und Erfahrung mit Hex-, Speicher- oder Debugging-Konzepten

Seminarinhalte

Analysequalität bewerten

• Grenzen automatischer Analyse erkennen
• Falsch erkannte Funktionen und Datenbereiche korrigieren
• Analyseannahmen sauber dokumentieren

Decompiler-Ausgabe verbessern

• Funktionssignaturen anpassen
• Strukturen und Pointer-Beziehungen rekonstruieren
• Variablen, Parameter und Rückgabewerte fachlich benennen

Kontrollfluss und Datenfluss untersuchen

• Callgraphs und Xrefs auswerten
• Komplexe Verzweigungen ordnen
• Datenabhängigkeiten zwischen Funktionen sichtbar machen

Fortgeschrittene Arbeitstechniken

• Speicherlayouts modellieren
• Bibliotheksfunktionen identifizieren
• Analyseergebnisse reproduzierbar sichern

Praktische Arbeitsschritte

1. Projekt anlegen und Importparameter prüfen
2. Automatische Analyse gezielt konfigurieren und starten
3. Funktionsgrenzen, Datentypen und Strings nacharbeiten
4. Decompiler-Ausgabe mit Listing, Graph und Xrefs abgleichen
5. Strukturen und Signaturen schrittweise verbessern
6. Analysehypothesen mit Querverweisen verifizieren
7. Befunde in einem nachvollziehbaren Analyseprotokoll festhalten

Arbeitsweise im Seminar

Gearbeitet wird mit mehreren abgestuften Binärbeispielen. Jede Übung beginnt mit einer unvollständigen Analyse und endet mit einer bereinigten, begründeten Interpretation. Dadurch entsteht Routine in kontrollierter Analysearbeit und nicht nur in der Bedienung einzelner Oberflächenfunktionen.