バイナリファイル解析ハンズオン
ツールだけに頼らない実践力レベルアップ

第１章　Linux基礎・解析環境の準備

1. １.１　本章のはじめに
2. １.２　Linuxの基礎知識
   1. １.２.１　Linuxとは
   2. １.２.２　OSとは
   3. １.２.３　ファイルシステム
   4. １.２.４　CLI（Command Line Interface）
   5. １.２.５　Ubuntuのパッケージ管理とソフトウェアインストール
3. １.３　バイナリファイル解析に使えるLinuxコマンド
   1. １.３.１　コマンドの説明を表示する
   2. １.３.２　ファイル・ディレクトリ操作
   3. １.３.３　基本的な情報確認
   4. １.３.４　テキストデータの表示
   5. １.３.５　バイナリデータの表示
   6. １.３.６　ファイル内の文字列の検索
   7. １.３.７　実行可能ファイルの解析
   8. １.３.８　エンコード／デコード
4. １.４　仮想環境を使った解析環境の準備
   1. １.４.１　仮想環境とは
   2. １.４.２　マルウェアを扱う際の注意点
   3. １.４.３　VirtualBoxの準備
   4. １.４.４　仮想マシンの準備
   5. １.４.５　ゲストOSでのPython利用環境の準備
   6. １.４.６　本書で紹介するプログラム等のダウンロード準備
   7. １.４.７　解析に必要なその他のツールのインストール
   8. １.４.８　ゲストOSのオフライン化
   9. １.４.９　スナップショットの作成（解析前）
   10. １.４.10　ゲストOSをクリーンな環境に戻す
5. １.５　WSL2を使った解析環境の構築
   1. １.５.１　WSLとは
   2. １.５.２　WSLの環境構築
   3. １.５.３　WSLの仮想環境のメンテナンス
   4. １.５.４　WSL環境でのDockerのセットアップ
6. １.６　本章のおわりに
7. コラム：仮想環境を飛び越えるマルウェア

第２章　ファイルシステムとその構造

1. ２.１　本章のはじめに
2. ２.２　ファイルシステムの基本機能
   1. ２.２.１　ファイルによるデータアクセスの抽象化
   2. ２.２.２　ストレージの管理
   3. ２.２.３　高度なファイルシステムの機能
3. ２.３　ファイルシステムの構造とデータ
   1. ２.３.１　FATとは
   2. ２.３.２　セクタとクラスタ
   3. ２.３.３　FATの構造
4. ２.４　手を動かして実際のデータを確認しよう
   1. ２.４.１　事前準備および留意点
   2. ２.４.２　演習を行うディスクイメージの準備
   3. ２.４.３　予約領域を読む
   4. ２.４.４　第2クラスタの位置の計算
   5. ２.４.５　ルートディレクトリの保存場所
   6. ２.４.６　ディレクトリ情報のアクセス
   7. コラム：ビットフラグの読み方
   8. コラム：LinuxとWindowsの時差
   9. コラム：ディレクトリエントリとLFNの紐付け
   10. コラム：とても長いファイル名
   11. コラム：ファイルを削除してもデータはすぐに消えない
   12. ２.４.７　FATテーブルの割当て状況の確認
   13. ２.４.８　ファイルの中身にアクセスする
5. ２.５　フォレンジックツールの利用
6. ２.６　本章のおわりに

第３章　バイナリファイルの構造解析

1. ３.１　本章のはじめに
2. ３.２　デジタル・フォレンジック
3. ３.３　デジタル・フォレンジックとバイナリファイルの構造解析
4. ３.４　バイナリファイルのパーサー生成ツールKaitai Struct
5. ３.５　Kaitai Structの実行環境のセットアップ
   1. ３.５.１　本章のプログラムと解析対象ファイルのダウンロード
   2. ３.５.２　Kaitai Struct compilerとPythonランタイムライブラリのインストール
   3. ３.５.３　Kaitai Struct visualizerのインストール
   4. ３.５.４　Kaitai Struct format libraryのダウンロード
6. ３.６　Linuxのログイン履歴の解析
   1. ３.６.１　utmpファイルの構造
   2. コラム：utmpファイルの２０３８　年問題対応
   3. ３.６.２　utmpファイルに履歴を記録する処理
   4. ３.６.３　KSYファイルからの構造図の生成
   5. ３.６.４　KSYファイルによる構造の記述
   6. ３.６.５　utmpファイルを解析するPythonスクリプトの作成
   7. ３.６.６　出力の改良
7. ３.７　Kaitai Struct visualizerによる構造解析
8. ３.８　Kaitai Struct Web IDEによる構造解析
9. ３.９　Linuxのログイン履歴の改ざん検知
   1. ３.９.１　改ざんを検知する方法
   2. ３.９.２　改ざんを検知するPythonスクリプトの作成
   3. ３.９.３　ログイン履歴の改ざん内容
10. ３.10　本章のおわりに
11. コラム：Kaitai Structを活用して開発しているバイナリファイル解析ツール

第４章　マルウェア解析

1. ４.１　マルウェア解析と解析妨害
2. ４.２　マルウェア解析の手法と手順
3. ４.３　解析妨害の種類
   1. ４.３.１　静的解析に対する解析妨害
   2. ４.３.２　動的解析に対する解析妨害
   3. ４.３.３　解析回避の詳細
4. ４.４　解析環境のセットアップ
   1. ４.４.１　本章のプログラムと検体のダウンロード
   2. ４.４.２　Fridaのセットアップ
   3. ４.４.３　angrのセットアップ
   4. ４.４.４　IDA Freeのセットアップ
   5. ４.４.５　解析対象の検体
5. ４.５　動的バイナリ計装（DBI）
   1. ４.５.１　DBIとは
   2. ４.５.２　Frida によるDBI
   3. ４.５.３　FridaによるＡＰＩトレース
   4. ４.５.４　Fridaによる命令トレース
6. ４.６　シンボリック実行
   1. ４.６.１　シンボリック実行とは
   2. ４.６.２　angrによるシンボリック実行
   3. ４.６.３　angrによる解析妨害のトリガーの解析
7. ４.７　Fridaによる解析妨害の迂回
8. ４.８　VM難読化
   1. ４.８.１　解析対象の検体
   2. ４.８.２　VM難読化の解析の方針
   3. ４.８.３　VMの構成要素の解析
   4. ４.８.４　VMの命令セットの解析
   5. ４.８.５　参考：angrでの実行

第５章　ファジングによる脆弱性検出

1. ５.１　脆弱性とは何か
2. ５.２　ファジングとは何か
3. ５.３　ファジングに対するよくある誤解
   1. ５.３.１　誤解１：ランダムなデータを投入するだけの手法である
   2. ５.３.２　誤解２：あらかじめ用意された入力パターンを総当たりで試すだけの手法である
   3. ５.３.３　誤解３：ファジングに任せれば脆弱性が自動的に見つかる
4. ５.４　ファジングの前提条件
   1. ５.４.１　外部入力の受け取り機能
   2. ５.４.２　バグオラクル
5. ５.５　ファジングの分類
   1. ５.５.１　内部情報の利用度合いによる分類
   2. ５.５.２　入力生成方法による分類
6. ５.６　ファジングの実行サイクル
   1. ５.６.１　基本的な実行サイクル
   2. ５.６.２　手法による違い
7. ５.７　ファジングの強みと制約
   1. ５.７.１　強み：実行型テストならではの利点
   2. ５.７.２　制約：計算資源の消費
8. ５.８　AFL++の技術的背景
   1. ５.８.１　コード計装の仕組み
   2. ５.８.２　なぜエッジカバレッジなのか
   3. ５.８.３　Seed/Operator Scheduler
9. ５.９　AFL++を動かしてみよう
   1. ５.９.１　演習環境のセットアップ
   2. ５.９.２　コード計装とテスト対象のコンパイル
   3. ５.９.３　初期シードの準備と戦略
   4. ５.９.４　AFL++の実行と監視
   5. ５.９.５　実行結果の詳細分析
   6. ５.９.６　ファジングの行き詰まり
10. ５.10　Fuzz Blocker
    1. ５.10.１　マジックナンバー問題
    2. ５.10.２　チェックサム問題
    3. ５.10.３　状態変数問題
11. ５.11　Fuzz Blockerを解決してみよう
    1. ５.11.１　マジックナンバー問題の解決
    2. ５.11.２　チェックサム問題の解決
    3. ５.11.３　状態変数問題の解決
12. ５.12　Blackbox Fuzzingの課題とアプローチ
    1. ５.12.１　Blackbox Fuzzingの問題
    2. ５.12.２　Response-guided Blackbox Fuzzing
    3. ５.12.３　Shepherd
13. ５.13　Shepherdを動かしてみよう
    1. ５.13.１　演習環境のセットアップ
14. ５.14　まとめ
    1. ５.14.１　基本操作から問題解決まで
    2. ５.14.２　制約環境での対応
    3. ５.14.３　おわりに

第６章　何で動くの！？ヘンテコ実行ファイル

1. ６.１　本章のはじめに
2. ６.２　本章の演習の準備
3. ６.３　演習0：実行できるのにデバッグできない？
   1. ６.３.１　フォーマット異常なのに実行できる謎
   2. ６.３.２　ELFヘッダーのレイアウトを調べる
   3. ６.３.３　ELFヘッダーを修正する
4. ６.４　演習1：nop命令だけでHello World?
   1. ６.４.１　逆アセンブリでnop命令しか見えない謎
   2. ６.４.２　プログラムヘッダーとセクションヘッダーのレイアウトを調べる
   3. ６.４.３　セクションヘッダーを修正する
5. ６.５　演習2：勝手にコードが実行される？
   1. ６.５.１　デコンパイルと実際の挙動がチグハグな謎
   2. ６.５.２　呼び出される関数が違う！
   3. ６.５.３　外部関数呼び出しの挙動を調べる
   4. ６.５.４　ツールが関数名を誤る理由を探る
   5. ６.５.５　再配置セクションを修正する
6. ６.６　演習3：mov命令だけでROT13？
   1. ６.６.１　入出力処理も条件分岐も見えない謎
   2. ６.６.２　SIGSEGVの正体を調べる
   3. ６.６.３　ループ、条件分岐、文字シフトの実現方法を調べる
7. ６.７　本章のおわりに
8. コラム：レッドチームによる攻撃者視点でのセキュリティ向上の取り組み

第７章　AIエージェントを自作してみよう

1. ７.１　本章のはじめに
2. ７.２　AIエージェント構築に必要な基礎知識
   1. ７.２.１　LLM/SLMとは
   2. ７.２.２　拡張言語モデル：外部ツールと連携するLLM
   3. ７.２.３　AIエージェントとは
3. ７.３　AIエージェントの構成
4. ７.４　事前準備
   1. ７.４.１　LLMサーバーの準備
   2. コラム：LM Studioのハードウェア動作確認状況
   3. コラム：LM Studioの更新履歴と注意点
   4. ７.４.２　解析用PCの準備
   5. ７.４.３　AIエージェントサンプルプログラムの動作確認
   6. ７.４.４　AIエージェントサンプルプログラム概説
5. ７.５　実装：基本機能の拡張と特殊コマンドの実装
   1. ７.５.１　システムプロンプトの修正
   2. コラム：プロンプトインジェクション攻撃
   3. ７.５.２　インタラクティブなプロンプト入力
   4. ７.５.３　LLMモデルの使い分けとMarkdown形式に対応したストリーミング出力
   5. コラム：本章で出てくるLLMモデルの紹介
   6. ７.５.４　特殊コマンド「help」：AIエージェント機能の（自動）説明
   7. ７.５.５　特殊コマンド「!」：任意のコマンドを実行その1：単純実行
   8. ７.５.６　特殊コマンド「?」：ツールを使用しないことを明示したLLMへの問い合わせ.
   9. ７.５.７　特殊コマンド「!!」：任意のコマンドを実行その1：コマンドの自動生成
   10. ７.５.８　特殊コマンド「hint」：ヒント表示機能の追加
   11. ７.５.９　特殊コマンド「report」：解析状況の整理
   12. ７.５.10　便利な機能：その他の便利な機能の追加
6. ７.６　外部ツール実行履歴の表示
7. ７.７　外部ツールの追加の練習：作業ディレクトリの変更
8. ７.８　実践：CTFを解きながらAIエージェントの拡張
   1. ７.８.１　7.8より前のAIエージェントでの解析例
   2. ７.８.２　QRコードの読み込み
   3. ７.８.３　ROT13
   4. ７.８.４　Base64
   5. ７.８.５　実践問題：外部ツール破損したZIPファイルの復元機能の実装
9. ７.９　おまけ：マルチモーダルLLM対応
   1. ７.９.１　AIエージェントへの実装
   2. ７.９.２　実行例
10. ７.10　AIエージェントで他の章の課題にチャレンジ
    1. ７.10.１　第3章の場合
    2. ７.10.２　第6章の場合
    3. ７.11　本章のおわりに
    4. コラム：本章のAIエージェントの脆弱性を見つけてみよう

付録