アプリ内部の命令形式やファームウェアを、人が読める擬似コードへ戻す逆コンパイラの観点から、IDA Proで対応範囲、作業の流れ、名前付け、スクリプト活用を確認します。
目次
解析結果を業務で扱いやすくするには
ソフトウェアやファームウェアの調査では、命令の解釈と関数の読み取りが安定しているほど、担当者は表示内容を確認しながら本来の解析対象に集中しやすくなります。IDA Proは、命令を正しくデコードし、関数を読みやすい擬似コードとして扱える状態を重視しており、人が読む場合だけでなく、IDAを操作する自動処理エージェントが出力を読む場合にも同じ考え方が当てはまります。
対応範囲とエディションを確認する
導入前には、解析したい対象と利用できるエディションを合わせて確認することが大切です。Qualcomm Hexagonは、Snapdragonチップ内でモデム、音声、カメラ処理を担うDSP、つまりデジタル信号処理用のプロセッサで、Cとして逆コンパイルできます。既存の逆コンパイラでも、AVXコードをCとして読めるようになり、ARC関数の戻りやMIPS Release 6などへの理解が加わっています。エディション面では、TriCoreとHexagonの逆コンパイラはIDA Proで利用でき、Androidアプリを扱うDalvik逆コンパイラはIDA ProとIDA Homeの両方で利用できます。
アプリ解析の作業を一つのデータベースで進める
Androidアプリの解析では、アプリ配布形式であるAPKを読み込み、classes.dexを選んでTabキーで表示を切り替える流れが示されています。この作業は別の閲覧ツールで行うのではなく、同じデータベース上で名前変更、型の調整、コメント付け、スクリプト化を進められます。表示される要素はデータベース上の実体として扱われるため、メソッド名を変更すると、その呼び出し側にも変更が反映されます。
残った名前の手掛かりを活用する
アプリでは、読みにくくする処理によってフィールド名が短い名前へ置き換えられることがあります。一方で、JSONのような受け渡し形式に変換するシリアライザでは、通信上の名前を維持する必要があるため、注釈の中に意味のある名前が残る場合があります。逆コンパイラが読み取った結果として、requestCount、sections、pageLoadのような名前が確認される例も示されています。名前は逆コンパイルのたびに再計算されますが、利用者が自分で設定した名前が優先されます。
スクリプト化で確認作業を広げる
同じデータベース上で注釈や型の調整を進められることは、作業を手で確認する場合だけでなく、繰り返し処理を整理する場合にも関係します。クラスビューに表示される情報は、C++やIDAPythonから新しいクラスAPIで利用できます。APIは、プログラムから機能や情報を呼び出すための窓口であり、表示されているクラス情報をスクリプト処理へつなげるための基盤になります。
エンジン制御ファームウェアの解析
TriCoreファームウェアは、記号情報やヘッダーがないフラッシュダンプとして届くことが多く、数メガバイト規模のエンジン制御コードとして扱われます。IDA 9.5では、逆コンパイラの中核が分離されたアドレスレジスタを理解するようになり、整数引数はd4からd7、ポインタ引数はa4からa7、整数の戻り値はd2、ポインタの戻り値はa2として扱われます。生のフラッシュダンプでも、スタックフレーム設定から関数を、コンテキスト保存から割り込みハンドラを見つける改善が示されています。
まとめ
IDA Proを検討する際は、対象がAndroidアプリなのか、TriCoreやHexagonのようなプロセッサ向けコードなのかを先に整理すると、利用する逆コンパイラとエディションを確認しやすくなります。解析後の作業では、同じデータベース内で名前、型、コメント、スクリプトを扱えることが、調査結果を継続して整える土台になります。クラスビューの情報をAPI経由で扱える点も、確認作業をスクリプトへ広げたい担当者にとって確認しておきたい要素です。