0
| 本文作者： 李勤 | 2018-07-23 17:03 |
在 7 月 21 日舉辦的看雪安全開發者峰會上，阿里安全獵戶座實驗室首度向外界展示了最新的研究成果“自動逆向機器人” ——TimePlayer 。據阿里安全獵戶座實驗室研究人員弗為稱，該機器人可以像醫生一樣“望聞問切”，對程序進行顯微鏡級別的勘察，并完整“回放”其運作過程，因此，可以偵測出程序中的漏洞或隱蔽行為。
弗為在演講中還稱，TimePlayer 集“攝像機”“播放機”和下“顯微鏡”三大功能于一身。如果要分析一個程序，只需在 TimePlayer 中運行一次就可以，它會把該程序所有的行為全部忠實地記錄下來，而且不會遺漏任何細節。不僅如此，TimePlayer還可以將“拍攝”的內容進行向前放、向后放、快放、慢放，能夠放大任意處的細節并且追蹤任意的目標。最重要的是，TimePlayer 對于程序行為的勘察粒度達到了指令級別。
以 WannaCry 勒索病毒為例，由于 WannaCry 勒索病毒刻意地刪除了本機的“私鑰”，因此，理論上只能掏錢向勒索者獲取，通過TimePlayer 可以發現，“私鑰”實際上在用戶態和內核態均有殘留，且相較于暴力搜索用戶態內存方法，精準的內核態殘留提取更為穩定。
同時，TimePlayer 可逆向超級復雜的文件格式。甚至是 DOC 這類超級復雜的文件格式，只需要把DOC文檔放到 TimePlayer 中打開，就能自動化地對文件進行分析。弗為稱，以前要好幾個人耗費數年時間的分析工作，TimePlayer 幾天時間就可以搞定，而且無需人員參與。
另外，為了對抗人工逆向，防護人員開發了各種各樣的工具和產品提升逆向難度，TimePlayer 甚至可以對付最難搞的“虛擬機殼”。
此前，雷鋒網編輯曾采訪阿里安全 P10 級資深安全總監黃眉，得知阿里安全內部近期有兩大研究方向：數據安全和智能化攻防。不難看出，TimePlayer 應該是阿里安全主攻的兩大研究方向下的產物，甚至可以說，這是近年來極少對外發聲、展示新工具的阿里安全比較重視的一次展示。
雷鋒網曾報道過 360 冰刃實驗室負責人潘劍鋒等人開發的一款自動漏洞挖掘工具 Digtool ，詳情請見《他們造了一個自動挖掘工具，能找到比核武器更可怕的漏洞》，文中提到，Digtool 目前擅長挖掘六類漏洞，而且針對的是 Windows系統。那么，這兩款工具有什么相同點和不同點？
雷鋒網從阿里安全獨家了解到，Digtool 是漏洞專挖工具，相對目的性更強一些，嚴格來說，TimePlayer 不是漏洞挖掘工具，而是程序逆向分析框架，可以在平臺層上二次開發各種應用，包括漏洞挖掘、逆向分析等；在分析范圍上， Digtool 利用的是 Intel pt，用于 Intel 架構下分析。Timeplayer 基于 qemu，可以針對包括 arm 在內的其他架構。
“也可以基于 TimePlayer 開發漏洞挖掘的應用，我們正在開發這項功能，也找到了一些arm/windows內核的問題，但還沒有總結對外展示。現階段的產出還是比較偏逆向分析方向的應用，但是 Digtool 有的能力也是具備的，只是需要時間去積累產出。”阿里安全方面透露。
阿里安全獵戶座實驗室負責人杭特認為，逆向能力是安全從業人員必須具備的基本功。在當前的安全行業，逆向工作基本都是不斷重復的、純體力的。
也就是說，目前這個工具的主要價值還是減少逆向工作的人力勞動。最后，雷鋒網了解到，以上純屬展示，阿里安全尚未公開發布這款工具，TimePlayer 現階段仍在阿里安全內部使用。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
