二进制代码保护和混淆
【摘要】 二进制代码保护和混淆
破解与反破解是对抗的关系，为了防止破解，有一些二进制代码的保护和混淆的手段
目录
代码自修改（Self Modifying Code,SMC）
抵御静态分析
IDA Pro和Ghidra等工具对二进制程序进行反汇编
有两种算法
•线性扫描算法
•递归下降算法
按照这两种算法不能保证正确反汇编机器语言
开发者会对汇编指令进行一些处理，使得反编译器无法生成逻辑清晰的伪代码
花指令
•花指令没有固定的形式
•是指在原来程序中完全冗余，不影响程序的功能会对逆向工程产生干扰的指令
•花指令有一些特征，需要我们手动改
常见的花指令
示例一
下面是一段正常的代码
push ebp
mov ebp，esp
sub 0x100
加了花指令之后
push ebp
pushfd
add esp,0xd
nop
sub esp,0xd
popfd
mov ebp,esp
sub esp,0x100加了很多相互抵消的操作
示例二
正常代码
push ebp
jmp addr1
addr1:
mov ebp,esp
sub esp,0x100加花指令之后的代码
push ebp
jz addr1
jnz addr1
db 0xE8
addr1:
mov ebp,esp
sub esp,0x1000xE8是call指令的首字节
push ebp
jz addr2
jnz addr2
db 0xE8
addr3:
sub esp,0x100
......
addr2:
mov ebp,esp
sub esp,0x100指令替换
•大量的指令可以使用其他指令来实现相同和类似的功能
•可以混淆函数地址范围与调用关系
示例
使用call调用函数
call addr可以替换成
push addr
ret或者
push ecx
mov ecx,[esp+4]
add esp,8
jmp ecx
代码自修改（Self Modifying Code,SMC）
•待修改的代码会被识别为数据
•修改后可以手动识别为Code
•两种方式
•静态分析SMC的流程，将代码patch为真正的代码
•使用动态分析的方法，在解密完毕的地方打断点，让程序跑到断点处，待修改的数据已经修改完毕
加壳
•压缩壳
•加密壳
•可以分为数据加密，代码加密，算法加密
•算法加密，常见的就是虚拟机保护
压缩壳
侧重于压缩的壳，压缩壳可以减少软件的体积，加密保护不是重点
UPX
有DOS，Linux和Windows版本
ASPack
是一款Win32可执行文件压缩软件，可压缩Win32可执行文件EXE，DLL，OCX
加密壳
ASProtect
是一款功能强大的Win32保护工具
有压缩，加密，反跟踪代码，CRC校验和花指令等保护措施
Armadillo
Armadillo是穿山甲的意思
有Public和Custom两个版本
可以为软件加上多种限制，包括时间，次数，启动画面等
有“CC保护”，扫描程序，处理标签里的跳转指令，将所有跳转指令换成INT3指令，机器码是CC，Armadillo是双进程运行的，子进程遇到CC异常，父进程会截获这个INT3异常，计算出跳转指令的目标地址并将其反馈给子进程，使子进程继续运行
EXECryptor
为目标软件添加注册机制，时间限制，使用次数等附加功能
Themida
是一款商业保护软件
用了虚拟机保护技术，在程序中善用SDK
缺点：生成的软件体积有点大
手动脱壳
•分为三步：
•1.查找真正的程序入口点
•2.抓取内存映像文件
•3.重建PE文件
•寻找OEP
•根据跨段转移指令就可以找到程序真正的入口点了
反调试
•我们的逆向分析方式是静态分析和动态调试
•反调试就是干扰某个进程的动态调试
•比如INT3的字节码是0xCC，将某个指令的起始字节设置为0xCC，随后监听EXCEPTION_BREAKPOINT异常，就是基于内存校验的断点检测方式
•有些反调试手段用了操作系统的API特性，当前进程处于父进程的跟踪调试状态下，其他调试器无法对当前进程进行调试
【版权声明】本文为华为云社区用户原创内容，转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息， 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）