首页
社区
课程
招聘
一个代码混淆器的思路
发表于: 2011-2-7 20:37 10861

一个代码混淆器的思路

2011-2-7 20:37
10861

首先,反汇编PE的.text节,结合重定向表的数据,分析获得指令之间的跳转、调用等引用关系。
然后,就可以进行混淆操作了。
(1),用混淆引擎,将指令变换执行方式,但意义不变。
(如inc xxx ==> add xxx , 1)
(2),将一个完整的指令段拆分成多个段,然后再指令结构体中建立新的引用关系。
(如:
a
b
c

==>

jmp tag1
tag2:
b
c
jmp tag3
tag1:
a
jmp tag2
tag3:
接下来的指令)
(3),生成新的可执行程序。

不知道这个思路是不是可行,望各大牛予以指点。谢谢!


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 7
支持
分享
最新回复 (14)
雪    币: 1556
活跃值: (310)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
2
首先,反汇编PE的.text节,结合重定向表的数据,分析获得指令之间的跳转、调用等引用关系。

实现这个,就很牛B了
2011-2-7 21:14
0
雪    币: 2401
活跃值: (1402)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
3
加入大量奇怪的代码。

例如: Push Edx 变形为....


push ebx
mov ebx,esp
push ebp
mov ebp,00000004
add ebx,ebp
pop ebp
sub ebx,00000004
xchg ebx,[esp] <- here
pop esp
mov [esp],edx
2011-2-8 00:45
0
雪    币: 325
活跃值: (97)
能力值: ( LV13,RANK:530 )
在线值:
发帖
回帖
粉丝
4
把数学学好,思路就出来了。
2011-2-8 03:14
0
雪    币: 43
活跃值: (40)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
5
为什么啊?这个是代码混淆。主要跟数据结构有关系。跟数学的关系不大吧~
2011-2-8 15:10
0
雪    币: 431
活跃值: (259)
能力值: ( LV9,RANK:230 )
在线值:
发帖
回帖
粉丝
6
看了不少这方面的论文,我觉得数学还是很重要的,作为一个代码混淆引擎,要想留下较少的特征规律,算法上的研究还是很重要的,这方面数学的助力还是很大的。
2011-2-9 10:22
0
雪    币: 458
活跃值: (421)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
7
如果有 自修改或者 花指令  怎样绕过?
2011-2-9 10:41
0
雪    币: 43
活跃值: (40)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
8
先用混淆器,再用其他壳呗~
2011-2-9 13:00
0
雪    币: 431
活跃值: (259)
能力值: ( LV9,RANK:230 )
在线值:
发帖
回帖
粉丝
9
要绕过自修改代码,两个比较传统的方法是动态调试和动态模拟,这些年静态算法特征检查也一定进展。

去除花指令的方法,现在一般固定或者相对有规律的指令搭配的检查,但是这些年花指令也有了新方法,只使用纯粹的花指令就能对抗这样的检查。
2011-2-9 13:08
0
雪    币: 431
活跃值: (259)
能力值: ( LV9,RANK:230 )
在线值:
发帖
回帖
粉丝
10
这个方法对方OD有一些效果,但是对方IDA还不行,因为IDA有基于程序切片的程序控制流图
2011-2-9 13:41
0
雪    币: 229
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
11
收藏了,以后再学习
2011-2-9 14:37
0
雪    币: 278
活跃值: (709)
能力值: ( LV15,RANK:520 )
在线值:
发帖
回帖
粉丝
12
楼上几位的光说,不想哈存放指令的空间在哪里?全部Dump还是增加区段?这个主要存放指令的空间找不到,固定空间
2011-5-20 09:20
0
雪    币: 284
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
很多人已经实现的东西,你还在探索。加油啊,楼主
2011-5-20 09:58
0
雪    币: 123
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
themida...-0-...
2011-5-20 11:32
0
雪    币: 278
活跃值: (709)
能力值: ( LV15,RANK:520 )
在线值:
发帖
回帖
粉丝
15
在努力,现在用不上,把思路记住就可以了,记得好像可以修改区段大小把,再重定位
2011-5-20 13:00
0
游客
登录 | 注册 方可回帖
返回
//