




已閱讀5頁,還剩28頁未讀, 繼續(xù)免費(fèi)閱讀
版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡(jiǎn)介
虛擬機(jī) 虛擬環(huán)境與代碼動(dòng)態(tài)變形技術(shù) 目錄 虛擬機(jī)保護(hù)的簡(jiǎn)介x86虛擬機(jī)保護(hù)的構(gòu)建指令擴(kuò)展式的構(gòu)建第三方虛擬機(jī)的構(gòu)建代碼亂序代碼替換花指令的構(gòu)建問題 虛擬機(jī)保護(hù)的簡(jiǎn)介 起源保護(hù)的目的保護(hù)的對(duì)象保護(hù)的手段 x86虛擬機(jī)保護(hù)的構(gòu)建 為什么要選取x86虛擬機(jī)開發(fā)周期短穩(wěn)定性高避免重定位修復(fù) x86虛擬機(jī)保護(hù)的構(gòu)建 直接使用x86虛擬機(jī)做保護(hù)的不安全性編碼的公開對(duì)x86虛擬機(jī)解釋代碼保護(hù)OPCODE表隨機(jī)映射字節(jié)碼的加解密變形后的指令處理句柄虛擬機(jī)上下文結(jié)構(gòu)隨機(jī) x86虛擬機(jī)保護(hù)的構(gòu)建 x86虛擬機(jī)保護(hù)的構(gòu)建 字節(jié)碼的加解密加密后指令1 decoder 隨機(jī)的密鑰 指令1 HASH 指令1 key1加密后指令2 decoder key1 指令2 HASH 指令2 key2加密后指令3 decoder key2 指令3 HASH 指令3 key3 x86虛擬機(jī)保護(hù)的構(gòu)建 變形后的指令處理句柄花指令插入指令擴(kuò)展重定位 x86虛擬機(jī)保護(hù)的構(gòu)建 虛擬機(jī)上下文結(jié)構(gòu)隨機(jī)結(jié)構(gòu)字段的變換虛擬機(jī)上下文重定位結(jié)構(gòu)用于與上下文結(jié)構(gòu)一同傳遞 還原原始的上下文結(jié)構(gòu) x86虛擬機(jī)保護(hù)的構(gòu)建 進(jìn)入虛擬機(jī)之前要做的事情切換堆棧保存當(dāng)前運(yùn)行上下文 x86虛擬機(jī)保護(hù)的構(gòu)建 異常的模擬內(nèi)存訪問權(quán)限不足未知指令 指令擴(kuò)展保護(hù) 源于 扭曲加密變換 直接作用于PE文件指令模板化重定位的修復(fù) 指令擴(kuò)展保護(hù) 指令模板化 指令擴(kuò)展保護(hù) 例如一條指令addeax 1我們可以將它轉(zhuǎn)化為callADD EAX 1JmpADD EAX 1 END 這里為垃圾代碼ADD EAX 1 pushebpmovebp espsubesp 0 x08pushebxmovdwordptr ebp 0 x04 5movebx 4subdwordptr ebp 0 x04 ebxaddeax dwordptr ebp 0 x04 movesp ebppopebpRetADD EAX 1 END 指令擴(kuò)展保護(hù) 重定位修復(fù)遍歷代碼 找出所有的跳轉(zhuǎn)指令隨機(jī)的插入代碼重新遍歷代碼 找出所有的跳轉(zhuǎn)指令通過第一次找出的偏移進(jìn)行新偏移的修訂 第三方虛擬機(jī) 最早可以在某些crackme中見到 用于保護(hù)算法指令編碼的設(shè)計(jì)匯編器的設(shè)計(jì)調(diào)試器的設(shè)計(jì) 第三方虛擬機(jī) 殼的虛擬化殼的重要部分 IAT表修復(fù) 加解密運(yùn)算 反調(diào)試模塊使用新的匯編語言進(jìn)行編寫 第三方虛擬機(jī) 用戶的自定義功能擴(kuò)展編寫反調(diào)試模塊增加類似真實(shí)指令的偽指令區(qū)塊 第三方虛擬機(jī) 第三方虛擬機(jī) x86代碼 虛擬機(jī)BYTECODE 虛擬機(jī)保護(hù)可能出現(xiàn)的BUG 外部函數(shù)動(dòng)態(tài)跳轉(zhuǎn)引發(fā)的狀況從外部函數(shù)直接跳入到被保護(hù)的函數(shù)中 而不是頭地址跳轉(zhuǎn)是一個(gè)動(dòng)態(tài)跳轉(zhuǎn) 無法修復(fù)moveax BaseAddressaddeax Offsetjmpeax 代碼亂序 增加逆向的難度讓殼重新獲得程序的控制權(quán) 代碼亂序 代碼替換 將要保護(hù)的代碼替換為花指令 將被保護(hù)的代碼放置到新的內(nèi)存內(nèi) 在執(zhí)行被保護(hù)的代碼時(shí)跳轉(zhuǎn)到新的內(nèi)存 代碼替換 找到兩個(gè)JMP CALL JCC之間的代碼段并記錄到結(jié)構(gòu)遍歷這個(gè)結(jié)構(gòu) 把要替換的代碼段搬運(yùn)到新的空間 在新的空間末尾添加一個(gè)跳入原先代碼段結(jié)束的地址將原先的代碼塊的首5個(gè)字節(jié)添加一個(gè)JMP跳入到搬運(yùn)后的地址 并填充同樣長(zhǎng)度的花指令將這個(gè)代碼塊除了首5個(gè)字節(jié)其余字節(jié)以花指令填充 偏移的修復(fù) 設(shè) 目標(biāo)地址為y 從JMP或者CALL后取出的偏移為x JMP或者CALL的指令長(zhǎng)度為I 當(dāng)前地址為C 第一個(gè)公式y(tǒng) C x I第二個(gè)公式y(tǒng) C x 1 I 花指令的產(chǎn)生器的構(gòu)建 根據(jù)隨機(jī)率產(chǎn)生隨機(jī)的花指令根據(jù)要產(chǎn)生的長(zhǎng)度隨機(jī)產(chǎn)生花指令
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 2025年中國(guó)燙金上光貼紙行業(yè)投資前景及策略咨詢研究報(bào)告
- 教育技術(shù)中的數(shù)據(jù)安全與隱私保護(hù)策略研究
- 教育技術(shù)發(fā)展的新篇章AI在辦公領(lǐng)域的應(yīng)用研究
- 商業(yè)教育的法律環(huán)境機(jī)遇與挑戰(zhàn)并存
- 教育游戲化兒童學(xué)習(xí)的新模式與未來展望
- 教育園區(qū)的公共空間管理與服務(wù)創(chuàng)新研究
- 2025年重慶能源職業(yè)學(xué)院?jiǎn)握小堵殬I(yè)適應(yīng)性測(cè)試》高頻難、易錯(cuò)點(diǎn)題附答案詳解AB卷
- 2024年昭通市工會(huì)招聘社會(huì)工作專業(yè)人才考試真題
- 2024年黎平縣機(jī)關(guān)事業(yè)單位遴選工作人員筆試真題
- 汛期安全培訓(xùn)課件
- GB/T 28728-2012溶液聚合苯乙烯-丁二烯橡膠(SSBR)微觀結(jié)構(gòu)的測(cè)定
- 小學(xué)《科學(xué)》期末測(cè)評(píng)方案
- GB 18613-2006中小型三相異步電動(dòng)機(jī)能效限定值及能效等級(jí)
- 2023年湘西市(中小學(xué)、幼兒園)教師招聘筆試題庫及答案解析
- 公司企業(yè)實(shí)習(xí)鑒定表格
- 鎖骨下動(dòng)脈竊血綜合征 (2)PPT
- 大學(xué)畢業(yè)生離校退宿申請(qǐng)表模板
- 大班社會(huì)《愛發(fā)脾氣的菲菲》課件
- 【海外華文文學(xué)】期末考試復(fù)習(xí)提綱
- 化工進(jìn)展稿件編輯、排版體例格式
- 美麗鄉(xiāng)村片區(qū)內(nèi)監(jiān)理規(guī)劃范本
評(píng)論
0/150
提交評(píng)論