-
-
新兵训练场第三期（12月27日，RING3下反调试技巧基本收集完毕）
-
发表于: 2006-12-8 15:02
-
引用WIN32病毒教程作者，16岁少年的一句话：“正如编写病毒的每一件事，开始的时候看起来很难，但是到了后来，就很简单了”
如果你勇于挑战困难，并且动手做这些题目，假如看了提示之后你仍然不会，在这里跟贴，你将会得到帮助。
本系列贴作为解密基础知识入门（http://bbs.pediy.com/showthread.php?s=&threadid=31840）的补充，过于基础的问题，将不会解答。总不能别人出书的东西，再重新默写出来给你看。此外在置顶贴中你会找到本系列的第一期的链接。非置顶贴则只有下一期的链接，请注意。
最后假如你在本帖中得益，那么请你继续关注本系列的帖，并且帮助后来人。一个人力量有限，我不可能照顾所有人的需要。唯一可以做的就是把一些有潜力的培养起来，然后在他们的帮助下培养更多的人。
第一期：
http://bbs.pediy.com/showthread.php?s=&threadid=35559
第一题。寻找反调试的实现方法和反反调试的方法。你可以自己想，或者自己搜索。搜索3种以上则过关。我将收录在3楼，方便后来人查看。请大家做这题之前先观察3楼还有那些没有被搜索出来。
要么你善于思考，通过调试分析自己找答案。要么善于查找现有的资料。这是本题锻炼的目的。虽然很多反调试技巧都有插件能过，但是你不可能永远都使用OD，假如其他调试器有更强大的功能，而又没有人开发插件，那么不懂得如何对付这些反调试技巧会成为你实力提升的障碍。知道反调试技巧，象高手那样能根据需要修改自己的调试器，是必须的能力。FLYODBG，野猪力量，OLLYICE等就是很好的例子。然而高手未必把自己修改的调试器放出来，你必须具备动手修改的能力！
提示：查看OD插件的功能，里面便有搜索反调试技巧的关键字
第二题。改变计算机运行顺序的2种方式。异常和中断。它们的区别是，异常由软件（即程序代码）引起，中断由硬件引起。关于这两种机制，调试器的断点就是基于这两种机制的。把你下断点的地方替换成代码INT3，当程序运行到这里，就会产生异常（称为陷阱类异常），并把原来的代码替换回去，这是最常见的软件断点。而硬件断点，一般指的是CPU提供的调试寄存器，即DRX。由硬件引起的，个人认为这属于中断。
上面是个人对基本概念的一些理解，可能会误导人，所以不必当真，大概有个认识就好了。本题的问题是，调试器是如何对这两种基本概念扩充，实现API断点和消息断点的？
提示：前者与PE结构有关。后者跟系统机制有关，作为第一期第三题和第二期第一题第三问的扩展。
第三题。HAPPYTOWN版主做了很多CRACKME，我对它们做了收集（连接在2楼），没有分析的，你可以写出分析。已有分析的，你可以随便找一个来修改，目标是防爆破。挑一种，另发贴写出详细过程，你会得到一篇精华文章。另外也收集了相关CRACKME的破文，假如你对破解很有兴趣，那么我也建议你看看
前者的参考资料：
新手加密算法入门系列文章
http://bbs.pediy.com/showthread.php?s=&threadid=27136
http://bbs.pediy.com/showthread.php?s=&threadid=27140
http://bbs.pediy.com/showthread.php?s=&threadid=27190
http://bbs.pediy.com/showthread.php?s=&threadid=27237
http://bbs.pediy.com/showthread.php?s=&threadid=28199
后者提示：
1 对目标加密处理，例如将显示注册成功的字符加密，然后只有得出正确注册码才能得到注册成功的字符。当然最好的方法是将注册号作为解密的密钥了，你可以根据需要，修改程序的加密算法。
2 在使用相关API之前先校验API是否已经下断，甚至模拟该API（在自己代码实现该API的功能，你需要搜索一些关于系统调用的信息）。当然，最好你能把消息断点也封杀掉。
3 你可以使用其他方法获得用户的输入，或者改变获得用户输入的时机（其实不一定要按下BUTTON才获取。），改变判断注册码是否正确的时机（常见的如重启验证）。
前者如果你对没分析过的，分析了并且给出注册机，可以把文章和注册机源代码发到CRACKME版。对没分析过的，写出分析，请发在这个版。后者，同样发到CRACK版，如果我说的3点，你全实现了，可以发去调试版了，这比我写的文章都要有深度了
。
给点信心自己，能到这里，证明你已经有一定逆向分析基础了。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
在《加密与解密》第二版上330页介绍了18种反调试的方法。但有很多都是过时了，我列举几个还常用到的：
1、调用kernel32.dll输出函数IsDebuggerPresent()来检测是否有调试器存在 2、对比比较关键的API，可以检测是否被设置了BPX断点 3、利用ZwQueryInformationProcess()或NtQueryInformationProcess()检测使用Win32 Debug API的用户模式调试器 自己知道一点的还有： 1、程序自己模拟出一个调试器，自己调试自己，从而就不会被另一个调试器调试了 2、查找如OD的标题头等特征字串 3、时间校验 4、花指令 纯粹抛砖引玉，哈哈 2006-12-08 23:11 原来老大是这个意思啊。 通过学习，我再试试： 关于CheckRemoteDebuggerPresent 函数 CheckRemoteDebuggerPresent也是通过调用 NtQueryInformationProcess 函数查询调试端口实现的，其伪代码如下： BOOL CheckRemoteDebuggerPresent(HANDLE hProcess, PBOOL pbDebuggerPresent) { enum PROCESS_INFO_CLASS { ProcessDebugPort = 7 }; if(hProcess && pbDebuggerPresent) { HANDLE hPort; *pbDebuggerPresent = NT_SUCCESS(NtQueryInformationProcess(hProcess, ProcessDebugPort, &hPort, sizeof(hPort), NULL)) ? TRUE : FALSE; return *pbDebuggerPresent; } return FALSE; } OD载入一个程序，Ctrl+G：CheckRemoteDebuggerPresent 然后看到下面这段代码： 7C859B1E > 8BFF mov edi, edi 7C859B20 55 push ebp 7C859B21 8BEC mov ebp, esp 7C859B23 837D 08 00 cmp dword ptr [ebp+8], 0 7C859B27 56 push esi 7C859B28 74 35 je short 7C859B5F 7C859B2A 8B75 0C mov esi, dword ptr [ebp+C] 7C859B2D 85F6 test esi, esi 7C859B2F 74 2E je short 7C859B5F 7C859B31 6A 00 push 0 7C859B33 6A 04 push 4 7C859B35 8D45 08 lea eax, dword ptr [ebp+8] 7C859B38 50 push eax 7C859B39 6A 07 push 7 7C859B3B FF75 08 push dword ptr [ebp+8] 7C859B3E FF15 AC10807C call dword ptr [<&ntdll.NtQueryInform>; ntdll.ZwQueryInformationProcess 7C859B44 85C0 test eax, eax 7C859B46 7D 08 jge short 7C859B50 7C859B48 50 push eax 7C859B49 E8 1DF8FAFF call 7C80936B 7C859B4E EB 16 jmp short 7C859B66 7C859B50 33C0 xor eax, eax 7C859B52 3945 08 cmp dword ptr [ebp+8], eax 7C859B55 0F95C0 setne al 7C859B58 8906 mov dword ptr [esi], eax 7C859B5A 33C0 xor eax, eax 7C859B5C 40 inc eax 7C859B5D EB 09 jmp short 7C859B68 7C859B5F 6A 57 push 57 7C859B61 E8 4AF7FAFF call 7C8092B0 7C859B66 33C0 xor eax, eax 7C859B68 5E pop esi 7C859B69 5D pop ebp 7C859B6A C2 0800 retn 8 程序被调试时，eax为1，否则返回0。对付的方法，把7C859B5C 40 inc eax //修改为： nop 就可以了 发帖量用完了，只好在这里编辑了  刚才又看到RoBa大虾翻译的检测OllyDbg的四种方法，在下面这个链接中，有兴趣的去看看嘛 http://bbs.pediy.com/showthread.php?threadid=4013
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
呵，我又找到几个反调试方法
1) int 3 异常 2) int 1 异常 3) 单步陷阱 4) API断点检测 5) debugger检测( ZwQuerySystemInformation ) 6) 从注册表检查是否安装IceExt 7) debugger检测( CreateToolHelp32Snapshot,ProcessFirst,Process32Next ) 8) debugger检测( CreateFile ) 9) 执行时间检查 10) SMC反单步跟踪 11) 多线程anti-debug 呵呵，真多呀，有兴趣的自己学习理解去  其链接在 http://www.pediy.com/practise/Paper.htm 现在第一题我过关了吗？ 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我原来写的那篇时间检测的文章,道理倒是可行的,但ring0编程我不行,改页表项后经常蓝屏,只好关闭了
|
|
|
楼上看看，到网上有没有源码的
我下了些源码，不过都是DOS下的
|
|
|
|
|
|
|
|
|
承蒙抬爱，为谢
 这两天比较忙，上论坛不是很多，有也是匆匆而过，所以现在才看到，回复得较晚了。不好意思
|
|
|
非常好。极其好。版主－我爱你！！
我虽然也整理过一些但是还是版主认真负责。
|
