असेंबलर: एक टीम में कई टीमों को छिपाना

यह होगा कि आप नियमित कोड में "अतिरिक्त" कोडांतरक कमांड को कैसे छिपा सकते हैं। यह विधि कोड डिससेप्स को जटिल करने के लिए उपयोगी है, खासकर अगर "छिपी" कमांड की पीढ़ी स्वचालित है।
टूलकिट: ओलीडबग डिबगर।

अजीब कोड

निम्नलिखित कोड पर एक नज़र डालें, जिसमें बहुत सारी आज्ञाएँ छिपी हुई हैं, जिन्हें आप पहली नज़र में देख सकते हैं:
MOV EAX,1EBC031
MOV EBX,90DB3190
CMP EAX,EBX
JNE SHORT 0000009E
NOP

(ऑलिडबग में कोडांतरक का उपयोग करके कोड के इस टुकड़े को सम्मिलित करना मुश्किल हो सकता है, इसलिए मैं आपको अंतर्निहित एचईएक्स संपादक का उपयोग करने की सलाह देता हूं: "बी 8 31 सी 01 ईबी 01 बीबी 90 31 डीबी 90 39 डी 8 75 एफ 3 90"
क्या आपको लगता है कि यह कोड अनिश्चित काल तक चलेगा, क्योंकि EAX और EBX बराबर नहीं हैं, और JNE टीम पहली टीम के क्षेत्र में तब तक बदलाव कर देगी जब तक ये दोनों रजिस्टर समान नहीं होंगे?
चलो अंतिम एनओपी बयान पर ब्रेक-पॉइंट लगाते हैं, इसे चलाते हैं और परिणाम देखते हैं।

हमने एक ब्रेक-पॉइंट सेट किया है (पते को लाल रंग में हाइलाइट किया गया है, निष्पादन की स्थिति काली है), हम स्टार्ट बटन दबाते हैं।

शुरू करने के बाद, निष्पादन प्रक्रिया वांछित बिंदु पर बंद हो गई।

अजीब तरह से पर्याप्त है, लेकिन कार्यक्रम स्थिर नहीं हुआ और रजिस्टर EAX और EBX का मूल्य शून्य के बराबर है। लेकिन यह कैसे हो सकता है?
आइए कोड पर एक करीब से नज़र डालें। पहला कमांड EAX रजिस्टर में वैल्यू 1EBC031 डालता है, दूसरा कमांड EBX में वैल्यू 90DB3190 डालता है। सीएमपी दो रजिस्टरों की तुलना करता है। JNE एक संक्रमण बनाता है यदि रजिस्टर मान मेल नहीं खाते हैं। और यहां सबसे दिलचस्प बात यह है कि संक्रमण पहले कमांड की शुरुआत में नहीं है, लेकिन पहले कमांड के दूसरे बाइट पर है। एक कोड के साथ कोड को ट्रेस करते हैं।

हमने पहले स्थान पर रखा।

कमांड को हमेशा की तरह निष्पादित किया जाता है।

... और इसलिए हम संक्रमण के लिए मिलता है।

एक छोटा संक्रमण पूरा हो गया है, और हम क्या देखते हैं? दो छिपे हुए कमांड - XOR EAX, EAX, EAX रजिस्टर की ज़ीरोइंग करते हैं।

और एक छोटा संक्रमण जो दूसरे MOV के अंदर नियंत्रण स्थानांतरित करता है।



एक और जगह बची :)

जीरो दूसरा रजिस्टर

हम जाँच के लिए मिलता है। इस समय, EAX और EBX रजिस्टर शून्य हैं।

सफलतापूर्वक सत्यापित किया गया।




तथ्य यह है कि एक अभाज्य संख्या नहीं है, लेकिन कमांड का मशीन कोड EAX रजिस्टर में लिखा गया है। इस तरह के "ओवरले" के कारण, कोड को विधानसभा भाषा में प्रस्तुत करना व्यावहारिक रूप से असंभव है। असेंबलर कमांड के अलग-अलग आकार होते हैं। कमांड "MOV EAX, 1EBC031" 5 बाइट्स लेता है, जबकि कमांड XOR EAX, EAX - 2 बाइट्स। बाइनरी शिफ्ट कमांड्स का उपयोग करके और सेमी-रजिस्टर्स AL और AH का उपयोग करके, आप इन "जंप" का उपयोग प्रोसेस और पूरे टैक्स रजिस्टर में दर्ज कर सकते हैं।
मैं यह नोट करना चाहता हूं कि जब MOV पैरामीटर के रूप में मशीन निर्देश सम्मिलित करते हैं, तो आपको बाइट्स के अनुक्रम को बदलने की आवश्यकता होती है, उदाहरण के लिए, MOV कमांड में रखा गया 31CO कमांड (XOR EAX, EAX) "MOV EAX, C031" जैसा दिखेगा।

इस पद्धति का उपयोग कई सॉफ्टवेयर सुरक्षा प्रणालियों में किया जाता है, जिससे संक्रमण का पता लगाना मुश्किल हो जाता है। इसके अलावा, रजिस्टरों में दर्ज किए गए मूल्यों को XOR विधि का उपयोग करके सरल एन्क्रिप्शन के लिए उपयोग किया जा सकता है। मुझे लगता है कि आप एक प्रोग्राम बना सकते हैं जो कोडांतरक कोड के एक टुकड़े को ऐसे छोटे टुकड़ों में पुन: स्थापित करने की प्रक्रिया को स्वचालित करता है कि यह निश्चित रूप से रिवर्स इंजीनियरिंग प्रक्रिया को जटिल करेगा।
32-बिट रजिस्टर के अलावा, 64-बिट सिस्टम पर 64-बिट रजिस्टर हैं, ये हैं: RAX, RBX, RCX, RDX। वे 2 गुना अधिक टीम रख सकते हैं।

एक आवेदन में विधानसभा कोड डालें

आप उच्च-स्तरीय विकास परिवेश के मानक उपकरणों का उपयोग कर सकते हैं: C ++ के लिए - यह कोड इस तरह दिखेगा:

  int someint=123; __asm { MOV EAX, someint INC EAX // ... MOV someint,EAX } 

डेल्फी के लिए:
वार someint: पूर्णांक; somelong: लोंगिंट;
begin
asm
mov ax,i
mov ebx,somelong
// ...
end;
end.

आप OllyDbg, कोड के लिए पूर्व-आवंटन स्थान का उपयोग कर सकते हैं।
उसी समय, यह मत भूलो कि जिन कार्यक्रमों में आप कोडांतरक कोड का एक टुकड़ा सम्मिलित करते हैं वे स्वयं कुछ रजिस्टरों का उपयोग करते हैं, इसलिए रजिस्टरों के मूल्यों को बचाने के लिए मत भूलना जब तक वे (PUSH) नहीं बदलते हैं और पूरा होने (POP) पर उन्हें पुनर्स्थापित करते हैं।