From 698c98aa5403a2a96afb7397c932aace313439f5 Mon Sep 17 00:00:00 2001 From: firmianay Date: Sat, 24 Mar 2018 19:16:03 +0800 Subject: [PATCH] update 4.11 --- SUMMARY.md | 1 + doc/4.11_instruction_confusion.md | 261 ++++++++++++++++++++++++++++++ doc/4_tips.md | 1 + 3 files changed, 263 insertions(+) create mode 100644 doc/4.11_instruction_confusion.md diff --git a/SUMMARY.md b/SUMMARY.md index 0a2bb72..ba86c33 100644 --- a/SUMMARY.md +++ b/SUMMARY.md @@ -86,6 +86,7 @@ GitHub 地址：https://github.com/firmianay/CTF-All-In-One * [4.8 使用 DynELF 泄露函数地址](doc/4.8_dynelf.md) * [4.9 patch 二进制文件](doc/4.9_patch_binary.md) * [4.10 反调试技术](doc/4.10_antidbg.md) + * [4.11 指令混淆](doc/4.11_instruction_confusion.md) * [五、高级篇](doc/5_advanced.md) * [5.1 模糊测试](doc/5.1_fuzzing.md) * [5.1.1 AFL fuzzer](doc/5.1.1_afl_fuzzer.md) diff --git a/doc/4.11_instruction_confusion.md b/doc/4.11_instruction_confusion.md new file mode 100644 index 0000000..2693a1a --- /dev/null +++ b/doc/4.11_instruction_confusion.md @@ -0,0 +1,261 @@ +# 4.11 指令混淆 + +- [为什么需要指令混淆](#为什么需要指令混淆) +- [常见的混淆方法](#常见的混淆方法) +- [代码虚拟化](#代码虚拟化) + + +## 为什么需要指令混淆 +软件的安全性严重依赖于代码复杂化后被分析者理解的难度，通过指令混淆，可以将原始的代码指令转换为等价但极其复杂的指令，从而尽可能地提高分析和破解的成本。 + + +## 常见的混淆方法 +#### 代码变形 +代码变形是指将单条或多条指令转变为等价的单条或多条其他指令。其中对单条指令的变形叫做局部变形，对多条指令结合起来考虑的变成叫做全局变形。 + +例如下面这样的一条赋值指令： +``` +mov eax, 12345678h +``` +可以使用下面的组合指令来替代： +``` +push 12345678h +pop eax +``` + +更进一步： +``` +pushfd +mov eax, 1234 +shl eax, 10 +mov ax, 5678 +popfd +``` +`pushfd` 和 `popfd` 是为了保护 EFLAGS 寄存器不受变形后指令的影响。 + +继续替换： +``` +pushfd +push 1234 +pop eax +shl eax, 10 +mov ax 5678 +``` +这样的结果就是简单的指令也可能会变成上百上千条指令，大大提高了理解的难度。 + +再看下面的例子： +``` +jmp {label} +``` +可以变成： +``` +push {label} +ret +``` +而且 IDA 不能识别出这种 label 标签的调用结构。 + +指令： +``` +call {label} +``` +可以替换成： +``` +push {call指令后面的那个label} +push {label} +ret +``` + +指令： +``` +push {op} +``` +可以替换成： +``` +sub esp, 4 +mov [esp], {op} +``` + +下面我们来看看全局变形。对于下面的代码： +``` +mov eax, ebx +mov ecx, eax +``` +因为两条代码具有关联性，在变形时需要综合考虑，例如下面这样： +``` +mov cx, bx +mov ax, cx +mov ch, bh +mov ah, bh +``` +这种具有关联性的特定使得通过变形后的代码推导变形前的代码更加困难。 + +#### 花指令 +花指令就是在原始指令中插入一些虽然可以被执行但是没有任何作用的指令，它的出现只是为了扰乱分析，不仅是对分析者来说，还是对反汇编器、调试器来说。 + +来看个例子，原始指令如下： +``` +add eax, ebx +mul ecx +``` +加入花指令之后： +``` +xor esi, 011223344h +add esi, eax +add eax, ebx +mov edx, eax +shl edx, 4 +mul ecx +xor esi, ecx +``` +其中使用了源程序不会使用到的 esi 和 edx 寄存器。这就是一种纯粹的垃圾指令。 + +有的花指令用于干扰反汇编器，例如下面这样： +``` +01003689 50 push eax +0100368A 53 push ebx +``` +加入花指令后： +``` +01003689 50 push eax +0100368A EB 01 jmp short 0100368D +0100368C FF53 6A call dword ptr [ebx+6A] +``` +乍一看似乎很奇怪，其实是加入因为加入了机器码 `EB 01 FF`，使得线性分析的反汇编器产生了误判。而在执行时，第二条指令会跳转到正确的位置，流程如下： +``` +01003689 50 push eax +0100368A EB 01 jmp short 0100368D +0100368C 90 nop +0100368D 53 push ebx +``` + +#### 扰乱指令序列 +指令一般都是按照一定序列执行的，例如下面这样： +``` +01003689 push eax +0100368A push ebx +0100368B xor eax, eax +0100368D cmp eax, 0 +01003690 jne short 01003695 +01003692 inc eax +01003693 jmp short 0100368D +01003695 pop ebx +01003696 pop eax +``` +指令序列看起来很清晰，所以扰乱指令序列就是要打乱这种指令的排列方式，以干扰分析者： +``` +01003689 push eax +0100368A jmp short 01003694 +0100368C xor eax, eax +0100368E jmp short 01003697 +01003690 jne short 0100369F +01003692 jmp short 0100369C +01003694 push ebx +01003695 jmp short 0100368C +01003697 cmp eax, 0 +0100369A jmp short 01003690 +0100369C inc eax +0100369D jmp short 01003697 +0100369F pop ebx +010036A0 pop eax +``` +虽然看起来很乱，但真实的执行顺序没有改变。 + +#### 多分支 +多分支是指利用不同的条件跳转指令将程序的执行流程复杂化。与扰乱指令序列不同的时，多分支改变了程序的执行流。举个例子： +``` +01003689 push eax +0100368A push ebx +0100368B push ecx +0100368C push edx +``` +变形如下： +``` +01003689 push eax +0100368A je short 0100368F +0100368C push ebx +0100368D jmp short 01003690 +0100368F push ebx +01003690 push ecx +01003691 push edx +``` +代码里加入了一个条件分支，但它究竟会不会触发我们并不关心。于是程序具有了不确定性，需要在执行时才能确定。但可以肯定的时，这段代码的执行结果和原代码相同。 + +再改进一下，用不同的代码替换分支处的代码： +``` +01003689 push eax +0100368A je short 0100368F +0100368C push ebx +0100368D jmp short 01003693 +0100368F push eax +01003690 mov dword ptr [esp], ebx +01003693 push ecx +01003694 push edx +``` + +#### 不透明谓词 +不透明谓词是指一个表达式的值在执行到某处时，对程序员而言是已知的，但编译器或静态分析器无法推断出这个值，只能在运行时确定。上面的多分支其实也是利用了不透明谓词。 + +下面的代码中： +``` +mov esi, 1 +... ; some code not touching esi +dec esi +... +cmp esi, 0 +jz real_code +; fake luggage +real_code: +``` +假设我们知道这里 esi 的值肯定是 0，那么就可以在 fake luggage 处插入任意长度和复杂度的指令，以达到混淆的目的。 + +其它的例子还有（同样假设esi为0）： +``` +add eax, ebx +mul ecx +add eax, esi +``` + +#### 间接指针 +``` +dummy_data1 db 100h dup (0) +message1 db 'hello world', 0 + +dummy_data2 db 200h dup (0) +message2 db 'another message', 0 + +func proc + ... + mov eax, offset dummy_data1 + add eax, 100h + push eax + call dump_string + ... + mov eax, offset dummy_data2 + add eax, 200h + push eax + call dump_string + ... +func endp +``` +这里通过 dummy_data 来间接地引用 message，但 IDA 就不能正确地分析到对 message 的引用。 + + +## 代码虚拟化 +基于虚拟机的代码保护也可以算是代码混淆技术的一种，是目前各种混淆中保护效果最好的。简单地说，该技术就是通过许多模拟代码来模拟被保护的代码的执行，然后计算出与被保护代码执行时相同的结果。 + +``` ++------------+ +| 头部指令序列 | -------> | 代码虚拟机入口 | +|------------| | +| | | 保存代码现场 | +| | | +| 中间指令序列 | | 模拟执行中间指令序列 | +| | | +| | | 设置新的代码现场 | +|------------| | +| 尾部指令序列 | <------- | 代码虚拟机出口 | ++------------+ +``` +当原始指令执行到指令序列的开始处，就转入代码虚拟机的入口。此时需要保存当前线程的上下文信息，然后进入模拟执行阶段，该阶段是代码虚拟机的核心。有两种方案来保证虚拟机代码与原始代码的栈空间使用互不冲突，一种是在堆上开辟开辟新的空间，另一种是继续使用原始代码所使用的栈空间，这两种方案互有优劣，在实际中第二种使用较多。 + +对于怎样模拟原始代码，同样有两种方案。一种是将原本的指令序列转变为一种具有直接或者间接对应关系的，只有虚拟机才能理解的代码数据。例如用 `0` 来表示 `push`， 1 表示 `mov` 等。这种直接或间接等价的数据称为 opcode。另一种方案是将原始代码的意义直接转换成新的代码，类似于代码变形，这种方案基于指令语义，所以设计难度非常大。 diff --git a/doc/4_tips.md b/doc/4_tips.md index 9eca5e7..7282acd 100644 --- a/doc/4_tips.md +++ b/doc/4_tips.md @@ -10,3 +10,4 @@ - [4.8 使用 DynELF 泄露函数地址](4.8_dynelf.md) - [4.9 patch 二进制文件](4.9_patch_binary.md) - [4.10 反调试技术](4.10_antidbg.md) +- [4.11 指令混淆](4.11_instruction_confusion.md)