使用Diaphora分析MS15-050补丁：Windows安全与逆向工程实践.pdfVIP

AlexIonescu的博客

Windows、安全思考和逆向工程

«控制流保护如何大幅导致Windows8.1地址空间和行为变化小PatchGuards是由什么组成的？

»

使用Diaphora分析MS15‑050

我获取有关Windows新功能和即将发布功能信息的最常见方法之一显然是使用逆向工程，例

如IDAPro来查看已更改的函数和变量，这通常意味着功能的变化。

当然，这样的更改也可能揭示安全修复，但在进行特征更改理解时，我在细粒度差异分析中很难

注意到这些更改。

对于这类修复，通常使用专门的差异工具，例如BinDiff，这些工具常被逆向工程师和安全专

家使用。，这类工具要么过时、被放弃，要么成本过高。我的一位好朋友，Joxean

Koret（曾因Hex‑Rays而闻名，巧合），最近为IDAPro开发了一个Python插件，

名为“Diaphora”（希腊语中意为“差异”）。

在这篇博客文章中，分析的MS15-050补丁，并简要介绍如何使用Diaphora。

安装

安装插件非常简单，只需页面，克隆仓库到一个.zip文件，然后将内容解压到相

应的目录（我选择的是IDA的插件文件夹，但可以是任何你希望的目录）。