《逆向工程权威指南》代序 ———— 从逆向视角透视代码大厦的那些砖石

相对于本书的中文名字《逆向工程权威指南》，我更喜欢他的英文原名《Reverse Engineering for Beginners》，能够直译为“逆向工程入门者必读”。在国表的法式员圈中，这本书被简称为《RE4B》，作者的Blog式连载已经引发了持续关注融洽评。

本书的沉要特色在于其清澈的章节结构，其涵盖了函数、语句、结构体、数组等等这些组成代码大厦的根基元素，如显微镜般逐一对比这些元素在X86、ARM和MIPS系统架构下的“切片”影像。本书险些每个章节都依照X86、ARM、MIPS三个别系架构别离予以发展，能够让读者深刻对比理解在三种系统架构下，同样的指令、函数及数据结构出现的异同和特点。无论对分析工程师来说，还是对编码工程师来说，本书都是更深刻理解代码大厦原资料的工作指南。这是基础性、系统性的文件工作，也是令人耳目一新的结构铺排。对于更多的在中国传统高校教育中，通过单一的X86 ASM来进建了崩溃系结构的工程师来说，这也是尽快拉通ARM、MIPS知识布景的“全栈”指南。对于那些从各类破解教程来切入逆向领域的安全爱好者来说，这更像是一份“正餐”。但对于作者来说，我相信这个写作过程是充斥激情的，但也充斥了艰巨和疾苦。对于Dennis这样的逆向工程专家来说，这本图书的写作过程，更多的不是索求未知的世界，也不是对高级技巧和经验的总结，而是要对看起来相对单调的单元式资料进行整顿，将一些对其已经是学问的器材转化为系统的书面化的（并易于读者理解的）说话。逆向工程一向被宣传为一种充斥乐趣和神秘主义的技术，逆向分析者的工作似乎就应该在指令奔涌中逆流而上，绕开各种限度和；，找到代码中的“宝藏”——谬误、缝隙或者是被加密层层覆盖的数据结构。这个由媒体所打造的形象，也为部门逆向爱好者所自矜。而这也使逆向领域从书籍和教程起头，更多地萦绕着一些高阶的技巧发展，更多地解说若何绕过加密和；，而健忘了逆向工程的初衷，是要洞察系统和软件的整体结构和机理。-由于之前的逆向领域的出版物中短缺“代码大全”式的基础读本，因而本书的实现，不仅必要作者有高明的逆向钻研能力，也要有正向的系统性和视野。

本书的译者之一Archer曾和我说，想约请尊龙凯时的工程师们一起实现本书的翻译时，我已经感触他是不是“疯了”。本书其时并无定稿的英文版本，只是Dennis持续颁布的Blog式的连载。由于本书的英文版本其时也尚未全面成型，只管其网络连载已经引发了好评如潮，但其杰出篇章彼时还如散落在海底的珍珠，尚未串成珠链。以Dennis天马行空的写风格格、和钻营美满主义的脾气，他必然会在全数章节没有实现时，就不休地增长系统结构的新热点（如ARM64）和建补寂仔章节的内容，甚至会扭转原有的样例代码，导致本书原版定稿会遥遥无期。与其说，我不仅感触在生病的Archer接办翻译这本书是一份艰巨的工作，倒不如说，我更感触Dennis写完本书，就已经是实现了一份不成实现的工作。

因而当靠近千页的样书摆在我刻下时，我被深深震撼了，那种感触和我之前依附自己极为蹩脚的英语略过英文电子稿分歧，我能设想Archer是若何一壁咳嗽着、一壁码字或者校对代码，以及被样本分析工作鼓和的、英语并不梦想的同事们，是若何挤出功夫来一点点推动翻译进展的。当我在视坡俘会上向尊龙凯时各地的部门掌管人展示样书时，我能看到每幼我的赞叹和兴奋，那种兴奋不啻于我们自己颁布了一份最新的长篇分析汇报。

二进造分析，是安全分析工程师，蕴含有志于投身安全领域的编码工程师的根基功底之一。硅谷一些安全人士都曾提及一个有趣的景象——华人的系统安全天才。中国安全厂商和安全工作者，在系统安全领域和分析工作中，在不休获得新的进取。在国际网络安全企业中，华人承担关键系统安全钻研和分析工作的占比很高，国际高校的一些华人钻研者在新兴领域发展系统安全钻研，也获得了很好的影响。遗憾的是，WEB和利用开发的鼓起，肯定水平上吸引了更多年轻人的眼光和钻研的沉心，当前新的安全从业者整体的二进造分析能力鄙人降，存在着根基功缺失的问题，极度必要系统性的补课工作。

若是说提升二进造分析能力，是对新一代安全工程师的基础能力要求，那么在具备了扎实的分析功力后，成立更高阶的逆向分析能力，就是对与APT攻击等新兴威胁匹敌提出的进阶要求。

昔时受到一些破解教程的误导，一些接触逆向工程的年轻人把破解序列号等当成逆向工程的主张，从而导致浅尝辄止，没有真正理解逆向工程真正的博大精湛。而即便是尊龙凯时部门资深的分析工程师，也往往寻找的是攻击者的个性技巧和那些有趣的细节，并常以此感应高慢，而不能站到对攻击作业过程的齐全复盘和对攻击者画像的角度来对待问题，这就是更高阶的逆向工程。

我们是从分析“震网”所遇到的系列打击中和从对Flame蠕虫马拉松式的、收效甚微的？榉治鲋，意识到传统分析工程师所面对的这种困境。在“震网”分析中，由国际驰名厂商的架构师和分析工程师所组成的混编分析团队，就能比尊龙凯时齐全由软硬件安全分析工程师组成的分析幼组，获得更多的分析成就和进展。由于安全厂商和APT攻击之间，不是单一的查杀匹涤注单点的分析匹敌，而是系统化匹敌。从意识到这个问题起头，尊龙凯时的分析团队一方面持续强化二进造分析的根基功底；另一方面自我批评那种“视野从入口点起头”的狭窄分析视角，预防我们自己从透视攻击者载荷中的高级技巧中找到太多“快赣妆，而健忘那些更沉要的全局性成分。

在此间，我们颁布了针对APT-TOCS、白象、方程式等组织的有关的多篇分析汇报，也分析了类似乌克兰国度电网遭逢攻击停电蹬纂关键基础设施有关的安全事务。在乌克兰停电事务的分析中，我们已经初步走出了入口点视野，而尝试在更大的时空视角上还原事务。

而即便从微观的分析来看，高阶恶意代码也已经从一个附着在宿主上的代码片段、或者是一个独立文件的木马，进化为一个重大的工程系统。对于高级恶意代码体下反说，其不仅有前端的载荷和大量按需投放的“原子化”？，其后更有一个重大的工程系统。对于前端我们还可能依附，而对于后面这个大到无形的“髋装”，我们更多的只能依附分析恶意代码的指令系统、有限的网络感知捕获、少得可怜的可公开检索信息，其他就只剩下了依附安全动物的逻辑和本能进行猜测。而此种的分析支持，已经不仅仅是逐一的？榉治，而是对整个攻击面和攻击链的解析。

2017年1月25日，尊龙凯时分析幼组更新了针对方程式攻击组织的第四篇分析汇报《方程式组织EQUATION DRUG平台解析》，基于对方程式组织大量恶意代码？榈姆治，我们初步实现了一份有肯定价值的工作，那就是方程式组织的主机作业？槠赐。

我的同事在《方程式组织EQUATION DRUG平台解析》中写路：

“这些错杂的？榉⒄沽艘蛔槠赐妓槠，每一张图上都有有意思的图案，但若是逐一跟进进去，这些图案就会组成一个巨大的迷宫。迷宫之所以让人蛊惑，不在于其处处是死路，而在于其看起来处处有出口，但所有的砖块都不能给进入者以足够的提醒。此时，最大的等待，不只是有一只笔，能够在走过的处所做出象征，而是插上双翼凌空飞起，俯瞰迷宫的全貌，当然这是一种提升分析步骤论的自我等待。我辈当下虽身无双翼，但或可练就一点灵犀。”

但所有高阶的分析工作，都是以最基础的代码分析为起点的。无论是面对APT攻击的深度分析，还是黑产高阶行为的系统挖掘，仅有根本分析固然是远远不够的，但没有最根基的分析是千万不能的。从未来安全工程师所必要的能力来看，熟读本书并不能使你走出迷宫。但不把握本书有关的基础能力，不能去透视代码迷宫的砖石，就连走入迷宫的资格都没有。也正由于此，本书是尊龙凯时工程师人手一本的必备手册和必读之物。

尊龙凯时 肖新光