虛擬機(jī)虛擬環(huán)境與代碼動態(tài)變形技術(shù)

虛擬機(jī) 虛擬環(huán)境與代碼動態(tài)變形技術(shù) 目錄 虛擬機(jī)保護(hù)的簡介x86虛擬機(jī)保護(hù)的構(gòu)建指令擴(kuò)展式的構(gòu)建第三方虛擬機(jī)的構(gòu)建代碼亂序代碼替換花指令的構(gòu)建問題 虛擬機(jī)保護(hù)的簡介 起源保護(hù)的目的保護(hù)的對象保護(hù)的手段 x86虛擬機(jī)保護(hù)的構(gòu)建 為什么要選取x86虛擬機(jī)開發(fā)周期短穩(wěn)定性高避免重定位修復(fù) x86虛擬機(jī)保護(hù)的構(gòu)建 直接使用x86虛擬機(jī)做保護(hù)的不安全性編碼的公開對x86虛擬機(jī)解釋代碼保護(hù)OPCODE表隨機(jī)映射字節(jié)碼的加解密變形后的指令處理句柄虛擬機(jī)上下文結(jié)構(gòu)隨機(jī) x86虛擬機(jī)保護(hù)的構(gòu)建 x86虛擬機(jī)保護(hù)的構(gòu)建 字節(jié)碼的加解密加密后指令1 decoder 隨機(jī)的密鑰 指令1 HASH 指令1 key1加密后指令2 decoder key1 指令2 HASH 指令2 key2加密后指令3 decoder key2 指令3 HASH 指令3 key3 x86虛擬機(jī)保護(hù)的構(gòu)建 變形后的指令處理句柄花指令插入指令擴(kuò)展重定位 x86虛擬機(jī)保護(hù)的構(gòu)建 虛擬機(jī)上下文結(jié)構(gòu)隨機(jī)結(jié)構(gòu)字段的變換虛擬機(jī)上下文重定位結(jié)構(gòu)用于與上下文結(jié)構(gòu)一同傳遞 還原原始的上下文結(jié)構(gòu) x86虛擬機(jī)保護(hù)的構(gòu)建 進(jìn)入虛擬機(jī)之前要做的事情切換堆棧保存當(dāng)前運(yùn)行上下文 x86虛擬機(jī)保護(hù)的構(gòu)建 異常的模擬內(nèi)存訪問權(quán)限不足未知指令 指令擴(kuò)展保護(hù) 源于 扭曲加密變換 直接作用于PE文件指令模板化重定位的修復(fù) 指令擴(kuò)展保護(hù) 指令模板化 指令擴(kuò)展保護(hù) 例如一條指令addeax 1我們可以將它轉(zhuǎn)化為callADD EAX 1JmpADD EAX 1 END 這里為垃圾代碼ADD EAX 1 pushebpmovebp espsubesp 0 x08pushebxmovdwordptr ebp 0 x04 5movebx 4subdwordptr ebp 0 x04 ebxaddeax dwordptr ebp 0 x04 movesp ebppopebpRetADD EAX 1 END 指令擴(kuò)展保護(hù) 重定位修復(fù)遍歷代碼 找出所有的跳轉(zhuǎn)指令隨機(jī)的插入代碼重新遍歷代碼 找出所有的跳轉(zhuǎn)指令通過第一次找出的偏移進(jìn)行新偏移的修訂 第三方虛擬機(jī) 最早可以在某些crackme中見到 用于保護(hù)算法指令編碼的設(shè)計(jì)匯編器的設(shè)計(jì)調(diào)試器的設(shè)計(jì) 第三方虛擬機(jī) 殼的虛擬化殼的重要部分 IAT表修復(fù) 加解密運(yùn)算 反調(diào)試模塊使用新的匯編語言進(jìn)行編寫 第三方虛擬機(jī) 用戶的自定義功能擴(kuò)展編寫反調(diào)試模塊增加類似真實(shí)指令的偽指令區(qū)塊 第三方虛擬機(jī) 第三方虛擬機(jī) x86代碼 虛擬機(jī)BYTECODE 虛擬機(jī)保護(hù)可能出現(xiàn)的BUG 外部函數(shù)動態(tài)跳轉(zhuǎn)引發(fā)的狀況從外部函數(shù)直接跳入到被保護(hù)的函數(shù)中 而不是頭地址跳轉(zhuǎn)是一個(gè)動態(tài)跳轉(zhuǎn) 無法修復(fù)moveax BaseAddressaddeax Offsetjmpeax 代碼亂序 增加逆向的難度讓殼重新獲得程序的控制權(quán) 代碼亂序 代碼替換 將要保護(hù)的代碼替換為花指令 將被保護(hù)的代碼放置到新的內(nèi)存內(nèi) 在執(zhí)行被保護(hù)的代碼時(shí)跳轉(zhuǎn)到新的內(nèi)存 代碼替換 找到兩個(gè)JMP CALL JCC之間的代碼段并記錄到結(jié)構(gòu)遍歷這個(gè)結(jié)構(gòu) 把要替換的代碼段搬運(yùn)到新的空間 在新的空間末尾添加一個(gè)跳入原先代碼段結(jié)束的地址將原先的代碼塊的首5個(gè)字節(jié)添加一個(gè)JMP跳入到搬運(yùn)后的地址 并填充同樣長度的花指令將這個(gè)代碼塊除了首5個(gè)字節(jié)其余字節(jié)以花指令填充 偏移的修復(fù) 設(shè) 目標(biāo)地址為y 從JMP或者CALL后取出的偏移為x JMP或者CALL的指令長度為I 當(dāng)前地址為C 第一個(gè)公式y(tǒng) C x I第二個(gè)公式y(tǒng) C x 1 I 花指令的產(chǎn)生器的構(gòu)建 根據(jù)隨機(jī)率產(chǎn)生隨機(jī)的花指令根據(jù)要產(chǎn)生的長度隨機(jī)產(chǎn)生花指令