Использование TLS для антиотладки

TLS (Thread Local Storage) - локальная память потока, предназначенная для связки данных с потоком. Эта структура изначально была создана для решения проблемы совместного доступа к данным в многопоточных приложениях. TLS бывают статичными и динамическими. Углубляться в эти дебри сейчас не будем, для этого есть Джеффри Рихтер с его книгой "Windows для профессионалов". Нас интересует только тот факт, что при использовании статичной TLS появляется возможность выполнять произвольный код до передачи управления на EP. Это можно использовать для обнаружения отладчика еще до того, как он получит управление над программой.

Секция TLS представляет собой структуру с фиксированным порядковым номером 9 и строго определенным набором данных. Нарушать их последовательность ни в коем случае нельзя. Вот как это выглядит на FASM:Немного теории. При запуске любого исполняемого файла системный загрузчик придерживается следующей логики. Сперва загружаются данные из секций импорта и экспорта, затем загрузчик поочередно проверяет все остальные секции. Если при этом будет обнаружена секция под номером 9, а это ни что иное, как TLS, то загрузчик поочередно выполнит все callback-функции, которые прописаны в этой секции. И только после этого управление передается на entry point программы, где может поджидать отладчик. Прелесть в том, что к моменту выполнения функций TLS уже загружены все необходимые библиотеки из импорта и у нас есть доступ к их функциям.

Возвращаемся к структуре. В поле Address of Callbacks прописывается указатель на массив адресов функций, которые должны вызываться при загрузке программы. Массив адресов заканчивается нулевым элементом. Последовательность вызова callback-функций, как несложно догадаться, определяется положением адреса в массиве. Более того, при обработке цепочки callback-функции могут динамически менять или добавлять новые записи в массиве, тут единственное условие, чтобы они стояли после выполняемой в данный момент callback-функции. Загрузчик обрабатывает массив в реальном времени, беря следующую запись только в момент, когда предыдущая callback-функция завершила свою работу.

Для обнаружения отладчика воспользуемся парочкой хорошо известных трюков. Это проверка параметра BeingDebugged из PEB и флага из структуры RTL_USER_PROCESS_PARAMETERS.Если с первым все понятно, по сути это аналог вызова функции IsDebuggerPresent, то по следующему коду я немного поясню. Когда приложение запускается через CreateProcess и любой из флагов DEBUG_PROCESS или DEBUG_ONLY_THIS_PROCESS установлен, то 14-й бит в поле Flags структуры RTL_USER_PROCESS_PARAMETERS обнуляется. При нормальном запуске этот бит равен 1. Тут же используется трюк с добавлением нового обработчика в цепочку callback-функций.С помощью этих трюков легко обнаруживаются отладчики OllyDbg и WinDebug. В качестве противодействия можно использовать плагин Olly Advanced с включенной опцией "Break on TLS Callback" или отладчик x64dbg, где такой функционал есть "из коробки". Дизассемблер IDA Pro также определяет и показывает все вызовы из TLS, так что обнаружить по крайней мере сам факт наличия раннего выполнения кода в программе можно без труда. Конечно, если при этом не используется динамическое изменение цепочки вызовов callback-функций.


Несмотря на то, что антиотладочные трюки с использованием TLS давно известны, возможность раннего исполнения кода нельзя недооценивать. Ведь совершенно необязательно сразу кричать об отладке, достаточно взвести какой-нибудь флаг, который будет влиять, например, на корректность расчетов в программе. Да и без поиска отладчиков в callback-функциях TLS можно динамически модифицировать код, расшифровывать какие-нибудь данные и выполнять прочие действия, которые могут надолго озадачить начинающего реверсера.

Сегодня мы в очередной раз убедились, что любую технологию можно использовать как во благо, так и во зло, в зависимости от того, по какую сторону баррикады вы находитесь.

В приложении пример программы с исходным текстом, которая использует TLS для обнаружения отладчика.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.