Использование SEH для антиотладки

В сегодняшней статье разберем использование SEH в качестве антиотладочного приема. Трюк старый, как бивень мамонта, опытным реверсерам обнаружить и обойти его не составит абсолютно никакого труда, а новичкам может быть интересно. Например, в исполняемых файлах, упакованных PECompact, управление с точки входа на процедуру распаковки передается именно таким способом.

Принцип использования этого трюка в точности повторяет штатное использование SEH для обработки ошибок и исключений. То есть установка SEH на определенный адрес обработчика и искусственное создание условий для его исполнения. Вот упомянутый обработчик из PECompact:


Устанавливается адрес, на который будет выполнен переход, затем генерируется исключение типа ACCESS VIOLATION при попытке записи в нулевую ячейку памяти.

Немного более продвинутый способ антиотладки с использованием SEH - внедрение в линейный код большого количества команд, которые будут генерировать исключения, и "мусорного" кода, который никогда не будет выполняться. При просмотре дизассемблерного листинга такие участки могут ввести исследователя в заблуждение. Вот простейший пример для демонстрации этой техники:Основная прелесть обработки исключений в том, что мы можем изменить адрес выполнения следующей команды. Наверняка вы обратили внимание, что сразу после каждого блока кода, который генерирует исключение, находится вызов функции ExitProcess. Мы будем менять адрес исполнения EIP таким образом, чтобы перепрыгнуть эту функцию. Но поскольку мы используем разные способы для генерации исключения, в обработчике надо предусмотреть проверку, какой именно способ был использован.Для всех методов кроме SINGLE STEP придется увеличивать адрес исполнения на длину команды, которая вызвала исключение. После этого адрес исполнения надо увеличить на длину вызова ExitProcess, для удобства я оформил его в качестве константы len_skip. Таким образом, получив управление, обработчик в итоге передаст управление на команду, следующую после вызова ExitProcess.

А вот теперь переходим к самому интересному - наномитам. Эта технология применялась в навесном протекторе Armadillo. Смысл наномитов заключается в том, что протектор анализирует бинарный код и заменяет некоторые условные переходы на вызов точки останова int 3. Все адреса замененных переходов, их условия и адреса передачи управления в случае выполнения условий сохраняются в секции протектора. При получении управления замененной командой срабатывает исключение, протектор проверяет адрес, откуда пришло исключение, по нему получает условие и адреса переходов и обрабатывает это все в своем коде.

Давайте попробуем сделать нечто подобное, но на основе своего кода. Например, реализуем обработку двух типов переходов - условного JE и безусловного JMP. Для этого в коде будет конструкция, включающая в себя команду для генерации исключения, тип перехода, а также адрес, куда нужно передать управление в случае выполнения условия.Вот простейшая программа, сперва выводящая окно сообщения с кнопками "Yes", "No" и "Cancel", а потом, в зависимости от выбранной пользователем кнопки, выводящая название этой кнопки. Проверки на основе условных переходов и безусловные переходы по веткам алгоритма реализованы с помощью наномитов и виртуальной машины. Управление виртуальной машине передается через обработчик SEH.Теперь обработчик. Первым делом он проверяет, что исключение было сгенерировано наномитом. Затем следующей проверкой определяется тип перехода - условный или безусловный. Если переход безусловный, то вычисляется адрес перехода и в контексте процесса заменяется адрес исполнения EIP. В случае условного перехода проверяется значение регистра флагов и по результатам проверки адрес исполнения меняется или на следующую команду, или на адрес условного перехода.Если посмотреть в дизассемблере код программы, то в основной части алгоритма не обнаружится ни одного перехода, более того, большая часть кода превратится в фарш. И это при условии, что тут кода всего с комариный х(..востик). При необходимости в реальном проекте степень виртуализации можно накручивать сколь угодно сложно.

Это лишь краткий пример, подобную обработку можно использовать для динамической модификации кода, расшифровки кода перед выполнением и шифрованием после выполнения, да вообще, при наличии фантазии и нужного радиуса кривизны рук возможности открываются поистине безграничные.

В приложении примеры программ с исходными текстами, которые используют описанные в статье антиотладочные техники.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.