首页
社区
课程
招聘
[原创]动态调试与静态反汇编合一,运用虚拟机技术创建可逆向运行的调试器
发表于: 2010-8-22 21:00 139106

[原创]动态调试与静态反汇编合一,运用虚拟机技术创建可逆向运行的调试器

2010-8-22 21:00
139106
收藏
免费 7
支持
分享
最新回复 (124)
雪    币: 413
活跃值: (56)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
101
好深奥啊..继续努力学习中.......
2011-9-21 15:50
0
雪    币: 208
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
102
最终还是一个判定的问题:如果存在黑客帝国中的Oracle就好了,或者说具有Oracle能力的求解器.
2011-9-21 17:27
0
雪    币: 56
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
103
LZ的这套系统做的怎么样了.
感觉是: 符号执行 + 污点分析.
2012-3-27 12:54
0
雪    币: 245
活跃值: (93)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
104
这个东西目前只在实验室
2012-3-29 00:18
0
雪    币: 1
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
105
No,No, No, 世界之大,谁说这种东西还在实验室。。。。。。。
2012-4-1 22:01
0
雪    币: 50
活跃值: (25)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
106
楼主真是高人啊,有这样的想法很好,可是只凭个人的能力有些困难啊
2012-4-2 12:40
0
雪    币: 69
活跃值: (157)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
107
佩服!~~~~~
2012-4-22 16:51
0
雪    币: 443
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
108
希望这样的OD插件能出来能够回头跟踪
2012-4-22 17:59
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
109
期待神器的诞生
2012-4-22 19:07
0
雪    币: 243
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
110
楼主莫非遇到了很多困难,被打击了么,怎么好久没来更新下进度了,大家好是期待啊
2012-5-7 18:47
0
雪    币: 1769
活跃值: (54)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
111
今天早上搜到这样两篇文章,看来有很多人在做这样的研究。
http://sse.hit.edu.cn/wp-content/uploads/2011/09/ppt.pdf
http://cjc.ict.ac.cn/quanwenjiansuo/2012-4/wz.pdf

所以一来我当初的想法可能未必完全是“民科”,二来我这段时间的心路历程颇为坎坷,倒不完全是技术上的问题,我在去年自己翻译了 No Starch 的书《Autotools - A Practioner's Guide to GNU Autoconf, Automake, and Libtool (2010)》。目的是什么呢?就是想用 gnu autotools 作为我的开发的主要维护工具。虽然按这本书的作者的说法,在 windows 上开发还是用 vs 好,但我觉得最后考虑一下可移植性的话,还是用 gnu 的工具比较好。
前年的话,我是一直在摸索在 windows 下用匿名管道来通过 gdb 获取数据的方法。以及 autotools 的使用方法,这才有了翻译书的想法,确实也也学到不少东西。

但是现在我有很多想法已经和当初不一样了。一个主要的不同的是动机:原来我的针对目标是反对网管监控软件的客户端,技术上是完全成功的,但是和领导层闹得有点僵。但我现在承认自己错了,其实我的这种动机并不是合理的,如果让我再回到当初的样子,我不会去动这脑筋和网管作对了。

并且现在的情况是:
1)随着单位里职务的提升导致工作任务的繁忙,
2)生活条件的改善使我已经不需要依赖单位的设备来做自己的研究,
3)网管停用了监控软件,因为确实那个软件给大家带来的麻烦比较多。

这样,让我继续研究的动力只剩下兴趣了。但是问题在于这样研究脱壳的技术到底有什么用呢?
脱壳破解软件到底帮了谁的忙,是个很难说的问题,最近我看到的新闻是微软的反盗版瞄上中国的上市公司,http://www.it-times.com.cn/it/18844.jhtml。这其实就是一个信号,事实上盗版的主要作用是在个人用户中普及了这个软件,然后从企业的角度来讲,它最终还是要买正版的,使用盗版的话是给自己惹麻烦。如果你是单位员工,那么使用正版还是盗版是无所谓的,因为单位有义务向你提供完成工作所需的条件。如果你是个人用户,那么使用正版还是盗版仍是无所谓的,你用盗版的话软件公司只当是减免了培训费用而已。何况在个人用户中盗版软件的传播其实是帮助软件公司在占领市场,想想为什么免费开源的 linux 没法普及吧,如果没有盗版的 windows 可用,用户会投入谁的怀抱?如果在 windows 上没有那些破解软件可用,那自由软件的优势就会更大。
所以破解软件说到底是在帮软件公司的忙,当然像游戏这样的软件,我认为今后大型的游戏可以走云计算的道路,瘦客户端,在用户这里只有控制器和屏幕,用户的输入直接送到游戏公司的服务器,然后在公司的服务器上计算后把图像发送到用户屏幕上,像索尼公司就是这样去做了,他们说了,将来用户不用换主机了。所以游戏公司可以彻底不用担心什么盗版了,因为在用户的机器上没有重要的计算任务。而且我认为这样更节能。以后要破解这样的游戏得靠发展人工智能,让机器能理解图像,就是说首先要能对付验证码什么的,让用户的机器能具有人工智能来理解屏幕上的游戏图像,随后作出反应。再接下去就是“skynet”——天网,等机器具有人的智能,人类就可以等着被淘汰了。
另外一方面,开源软件,我认为可能很大程度上也是大型 IT 企业反微软垄断的一种策略,通过提供免费的软件,然后瓜分市场,再收取服务费用,这是一种商业模式,像我这样的个人爱好者其实没必要去赶这趟浑水,整个软件的开发方向,策略都是掌握在大公司手里,与个人爱好者没什么关系。
自由软件,我把它和开源软件区分开来,我认为,自由软件其实是西方国家高福利的产物,老百姓衣食无忧当然是乐善好施了,拿着社会福利,写点自由软件回报社会是应该的。但是随着云计算的兴起,我想自由软件的意义已经不大了。想想看,我们将来的数据都在别人的服务器上,我们在网上的一举一动都有大型的 IT 公司、政府机构收集着,什么大数据帮助美国总统竞选之类的,我又要感叹人类只是电脑的小白鼠了。所以我觉得用手机,用电脑上网,其实都是在不知不觉中向强大的势力暴露个人隐私,而同时又在忽悠彼此的真实情况,所以用这种方式建立起来的人际关系根本不值得信赖。

随后把话题扯回到脱壳上来,我觉得其实到最后,所有的软件都是在搞数学,污点分析,编译优化难道不是数学在背后起作用?所以数学可以说是自然科学的基础,破解和反破解的较量,其实就是数学上的较量。我是没有上过大学,没有学过高数的,我是应该放弃的。
但是人类的社会不是只有自然科学的,我们还有政治,很多时候光靠技术是解决不了问题的,我们单位的监控软件不是因为我破解了才不用的,而是因为许多人的反对才不用的,这就是政治的力量。我现在得出的结论是要把技术和政治结合起来,就是做人要讲哲学,很多时候把哲学的理论学好了,用好了,很多事情看得透,想得通,人生的路就顺一点了。今年是我不惑之年,写下这点东西,算是我这两年的一点感悟,有较多的消极片面之处,是力不从心的表现,望大家见谅。
2013-2-15 13:37
0
雪    币: 1769
活跃值: (54)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
112
不知为什么发重复了。
2013-2-15 13:38
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
113
重最看头把帖子读完一遍,受益颇多。才开始接触反汇编不久,看了LZ最后的帖子,不能不感叹科技进步将对安全界的影响深远!
2013-2-15 16:16
0
雪    币: 284
活跃值: (34)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
114
mark!!!!
2013-2-15 16:59
0
雪    币: 427
活跃值: (488)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
115
2年半了,这个传说中的东西有人接着往下搞嘛?
2013-3-9 17:10
0
雪    币: 66
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
116
一口气看了好多页,还没看完,有着强烈的共鸣,非常赞赏楼主的想法,加壳容易脱壳难,现在脱壳者明显是处于劣势,支持一下!
2013-6-16 19:05
0
雪    币: 297
活跃值: (120)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
117
好强啊,光看完这整整一贴都需要极大的耐心啊,标记以后慢慢看吧
2013-6-16 19:12
0
雪    币: 242
活跃值: (14)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
118
古人60不惑。楼主应该是毕业没多久吧?因为的想法看起来属于学术类的。

本人水平不如楼主,只不过知识面还够广,听说过楼主所言涉及到的方法。
这里只是乱说,如若冒犯,请海涵
1、楼主所言涉及到的工具、方法,不少处于不完备或者不足以实用的状态
人工智能: 课本上人工神经网络的例子“自动识别驾驶汽车”,也只是去年才上路实验。要达到辅助“分析”,距离有点远

虚拟机:硬件仿真部分不会有大问题(bochs属于demo,实用点的话选择VirtualBox+KQEMU),OS仿真部分属于“永远不会完备”,具体原因可以找开发反病毒虚拟机了解一下(两年前腾讯的负责开发虚拟机的人坚持说可用wine做OS仿真,估计现在知道坑了没?)。

编译原理:考虑到开发难度、计算能力要求,开发很有问题。假如楼主真不惑了,请从工程角度评估一下需要多少个开发人员、多久能出开发出demo(可跟踪当前普遍存在的VMP壳的demo程序,考虑加壳的后程序大小10M)

2、楼主所考虑问题的角度,太偏向于逆向,实际从开发角度,逻辑流是很多样的。
楼主如果没看过chrome的message loop posttask或者mac的runloop performselector,可以了解一下,然后给出这种“逻辑流和线程完全脱离”的事件驱动、半事件驱动情况,楼主所给的系统怎么样帮助人识别、整理逻辑?
2013-6-16 21:28
0
雪    币: 385
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
119
头两页气氛不太对,出来冒泡透透气。我很佩服楼主的探索精神。

加壳、脱壳两方都表达了自己的立场。

希望楼主不会因此被束缚。
2013-8-23 03:01
0
雪    币: 81
活跃值: (110)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
120
你个人明明其实没有这个能力去完成那么大的工作量却把问题的口子开的那么大,就是这种结果.什么也没完成.你除了解决技术上的难题以外,还有生活上的压力毕竟.你所描述的是个非常庞大的工程,应该确立一个短期内能完成的小目标先做起来.毕竟你讲了那么多还没有一个OD插件给我带来的帮助来得多
2013-8-23 08:27
0
雪    币: 152
活跃值: (588)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
121
偶然间发现这个帖子,三年过去了不知道LZ有啥进展?
2013-11-6 08:44
0
雪    币: 49
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
122
受益匪浅。
2013-12-16 02:11
0
雪    币: 2252
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
123
我是开着屏幕录像调试的。
2013-12-16 10:39
0
雪    币: 1769
活跃值: (54)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
124
今天偶尔搜到这样一条信息,才发现当年我的设想都已经有人做出来了。

http://www.verydemo.com/cm.jsp?c=78&u=temu-yuan-ma-fen-xi

看来如果我是民科的话,那加州大学Berkeley分校一起陪我入坑了。当年我说过要把每一条指令分解为微指令,我说过要在虚拟机中执行,我说过要进行污点传播的分析,这都有人做出来了,虽然只是个雏形,但只要有人走出这一步,只要有这方面的市场需求,就一定会发展下去的。

刚才看了下这个 temu 是2009年发布的 bitblaze 是2008年出的论文。看来老美还是走在前头的,不过我当年是不知情的,所以直到今天才知道这件事的,心里也是放下一块石头的,嗯,这条路已经有人走在前面了。
2014-9-24 21:06
0
雪    币: 20
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
125
你好,我看了你的文章,后来又翻阅了大量的论文资料。我希望在不久的将来能实现你所说的功能,而且我希望能在你说的基础之上实现,把windows上的程序翻译成android程序,我个人的理解是去混淆没有必要了,毕竟程序是拿来运行的,混淆与否对人影响不大,而且如果你不想知道作者的算法,但是你却可以自动把作者的算法摘出来做成不同平台下的库,那么即使有程序有壳,有VMP保护,有混淆,有变形,都影响不大了,但是这一切的实现可能都是异常困难的,对于一个人。有时间我们一起实现如何。我QQ:3617 28654
2015-8-12 11:14
0
游客
登录 | 注册 方可回帖
返回
//