指令歧义及程序飞和逆向工程的关系

hotpower

hottask51 发表于 2009-2-12 08:58 裸奔式实时操作系统HotTask51 ←返回版面

楼主： 指令歧义及程序飞和逆向工程的关系

指令歧义及程序飞和逆向工程的关系 1.标准程序样例 MOV   DPTR,#0013H;外部中断1入口地址 JNZ   NEXT1;ACC<>0,取INT1地址 MOV   DPTR,#0003H;外部中断0入口地址 SJMP  NEXT NEXT1: RRA; NEXT: MOVC  A,@A+DPTR MOV   P3,A; LCALL XXXXH; 2.对应标准程序样例可等效非典指令序列 MOV   DPTR,#0013H JNZ   NEXT-1;借用下条指令的操作数2的03H为一个隐含的RRA指令! MOV   DPTR,#0003H;低8位的03H实际为RRA指令(操作码03H)!!! NEXT: MOVC  A,@A+DPTR MOV   P3,A LCALL XXXXH; 可以看出，2个功能相同的指令后者很简化，当然那个03H实际存在的概率几乎是没有的 估计会有人说，为什么标准程序样例不像如下所示??? MOV   DPTR,#0003H;外部中断0入口地址 JZ    NEXT; MOV   DPTR,#0013H;外部中断1入口地址 RRA; NEXT: MOVC  A,@A+DPTR MOV   P3,A; LCALL XXXXH; 虽然它不如2精简，但却通用许多，而且条理清晰，至少RRA让人看的很明白。 问题很好也不错，所有逆向工程正是利用了人们善良带来的漏洞予以攻击。成功率几乎为100%. 因为逆向工程利用二次扫描技术实现代码和数据的剥离，对于剩下的数据区再多次攻击(虚拟机) 直到逆向到满意的代码和数据的剥离结果。 对2的攻击会带来以下2种程序源码。 3.当ACC为零时可等效为下列指令序列 MOV   A,#00H MOV   DPTR,#0013H SJMP  NEXT1; NEXT1: MOV   DPTR,#0003H NEXT: MOVC  A,@A+DPTR MOV   P3,A LCALL 0000H; 4.当ACC非零时可等效为下列指令序列 MOV   A,#0FFH MOV   DPTR,#0013H SJMP  NEXT1; DW    9000H;其中90H为MOV DPTR,#00XXH的操作码 NEXT1: RRA;利用数据藏代码 NEXT: MOVC  A,@A+DPTR MOV   P3,A LCALL 0000H; 而实际上我们的1个程序却同时需要这2个源码，因为ACC总存在0和非0两种状态。 所以暴力反汇编经常会出现以下的结果 5. MOV   DPTR,#0013H JNZ   NEXT; DW    9000H;这个对于搞过反汇编或熟悉51指令集的人才知道是残缺的MOV DPTR,#00XXH NEXT: RRA MOVC  A,@A+DPTR MOV   P3,A LCALL XXXXH; 当如像64K大的程序时，要有多少个象5一样不解的结果呀。 不管是用什么法则，如果采用暴力反汇编生成的代码肯定不会全对。甚至导致编译失败！！！ 而遵守扫描法则的反汇编都将2判定为非法代码序列。直接做为数据处理。这类反汇编出来的 汇编代码将会100%的通过汇编器的重新编译！！！ 菜农的超级反汇编软件就是遵从了这一原则可以逆向任何“守法代码”。 故认为使用以下雷同的代码来保护后跟的代码和数据 如6： JNZ   $+3;肯定运行NOP;LCALL DO_CRC; DW    1200H;低8位为NOP指令 LCALL DO_CRC;CRC校验,最终正确结果CRC=0(注意这个0将会被多次使用) 例如都用这样带有指令歧义的分支代码来保护，那么遵循任何法则的逆向工程每个分支都应该 提供2个程序清单。 假使有3个带有指令歧义分支的的程序，应该最多提供4份程序清单。 在这个分支时，用第1份看，这那个分支用第N份看，....晕否？？？ 菜农在这里不谈如何破译，而是“代码隐身”，就和以前的“中断隐身”类同。 从以上分析，特别是2给我们的启示，实际上程序飞也是个“代码隐身”的问题。 “代码隐身”可以根据分支的条件将代码重新组合，而程序飞也是PC值突变脱离了我们正常代码 序列的范围，如进入数据区或代码区指令的操作数1或操作数2。 这就是为什么程序飞工作运行的莫名其妙的原因之所在。因为它是不可控的毫无任何规律可寻的。 所有我们适当地采用例2的保护方法，将会使逆向工作更加困难，让他们和“程序飞”打交道吧... 菜农 HotPower@126.com 2007.11.16 于西安大雁塔菜地