0

Есть скомпилированный C++-код, часть которого шифруется в бинарном файле обычным xor'ом. Вот так выгляди часть, которую шифруется и, которую потом нужно расшифровать во время исполнения программы:

int a = 0xBAD, b = 0xC0DE;
std::cin >> a >> b;
int c = static_cast<int>(pow(a, pow(b, b))) % static_cast<int>(pow(a, b));
switch (c)
{
case 0:
    std::cout << "c = " << 0 << std::endl;
    break;
case 1:
    std::cout << "c = " << 1 << std::endl;
    break;
case 2:
    std::cout << "c = " << 2 << std::endl;
    break;
case 3:
    std::cout << "c = " << 3 << std::endl;
    break;
default:
    std::cout << "c = " << c << std::endl;
}

Для расшифровки его во время выполнения программы я выделаю буффер с правами выполнения в нем кода, копирую туда зашифрованный код, расшифровываю его и передаю выполнение на этот участок кода:

LPVOID ptr = VirtualAlloc(NULL, end - begin, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);
memcpy(ptr, begin, end - begin);    
//decryption here
((void(*)(void))ptr)();

Тут begin и end соответственно адреса начала и конца зашифрованного кода. До определенного момента расшифрованный код выполняется корректно, а именно до инструкции с вызовом std::cin. Поскольку вызов std::cin и std::cout вызывается и использованием near call, то смещения, используемые в этом call оказываются совсем неверными для кода, выполняемого в выделенной памяти. Отсюда возникает вопрос: как правильно расшифровать зашифрованный код в буфер и выполнить его так, чтобы он работал? Из вариантов, которые приходят на ум, это как-то в зашифрованном коде искать вызов команды call и переписывать в нем смещение, но этот вариант не выглядит самым разумным. Вариант расшифровки кода именно в зашифрованную память не подходит, т.к. тогда придется отключать DEP в компоновщике.

2
  • 1
    до инструкции с вызовом std::cin - а поскольку до нее ничего и не происходит... Нет, я не о том, что проблема именно в неверной дешифровке, просто интересно - вы сам код, например, отладчиком смотрели? Он действительно весь корректный, кроме адресов call?
    – Harry
    6 апр 2021 в 5:30
  • Да, я смотрел код в отладчике. После расшифровки в буфере точно такой же набор байтов, как был зашифрован. Пока что из того, что я нашел, проблема только со смещениями для инструкции call. До инструкции call происходит присвоение значения переменным, помещении их адресов в eax и ecx и еще mov ecx, offset dword_43E048 6 апр 2021 в 5:49

2 ответа 2

1

Помните что загрузчик PE файлов (.dll/.exe) имеет право не просто отобразить код из фала в оперативную память но и поменять его по ходу загрузки. В частности если часть адресного пространства, в которой предполагалось разместить код, уже занято другой dll, то в коде будут исправлены все ссылки (call-ы, jump-ы, ссылки на данные). Поэтому если вы предполагали скомпилировать код, зашифровать тело функции, загрузить код (запустив exe) и расшифровать из памяти - то ничего не получится. В памяти может оказаться не тот набор байтов, что был после шифровки. Вам нужно: откатить процедуру ребазирования, расшифровывать и повторить процедуру ребазирования, уже на новый базовый адрес.

Более простой (ИМХО) путь такой: скомпилировать "секретный" код в виде отдельной dll, зашифровать ее целиком, упаковать в виде массива (данных). В run-time - расшифровать данные, и загрузить dll из оперативной памяти.

Загрузчикb позволяющиt грузить код из памяти: win32: https://rsdn.org/forum/src/501167.all win64: https://github.com/fancycode/MemoryModule

1

Вы забываете про адресацию. Если попадётся switch, вызовы, или ещё ссылки на память (те же глобальные переменные) - то ваш перенос даст сбой. Что бы этого не случилось... есть несколько решений. Каждое из которых сложное.

Во первых, надо все точки ссылок на память, обработать следующим образом:

  1. Если ссылка идёт на шифрованый кусок кода - нужно вычислить новый адрес внутри шифрованого куска кода.
  2. Если идет прямая ссылка на внешний код - то оставить без изменений.
  3. Если идет прямая ссылка на dll то нужно подставить адрес из dll вручную.
  4. Если идёт косвенная ссылка на "нешифрованый" код - нужно перевычистить адрес на правильный.

Вообщем нужно пересчитать ссылки. Для пересчёта нужно знать: а)адрес базы собраного кода, б)адрес где находится код в)расположение библиотечных функций и основной программы.

Как только проррамма наткнётся на "битую" ссылку в памяти, для которой не сделана, или сделана не правильно rellocation (пересчёт) адреса в памяти - вы получите мусор, и как резутьтат Access Violation, UB, или странное поведение программы. Поэтому...

При перемещение участка кода, адресация может сбится. Из-за этого могут не работать switch, вызовы, ссылки на глобальные переменные и т п.

Тут несколько выходов

  1. Отказаться полностью от "зависимых" ссылок. Писать код используя строго if (без switch-case) и строго так, что бы не было ссылок, которые прийдётся пересчитать. Полученную программу выверять дизассемблером перед шифрованием. Возможно отказаться от глобальных переменных. Если нужна ссылка в память - делать ссылки гибко-вычесляемыми. switch-case - иногда преобразуется в таблицу, и компилятор может генерировать непереносимый код. Само быстро будет именно этот вариант использовать. Можно пожертвовать колличеством аргументов для отказа от глобальных переменных и ссылок на функции.

    Для вашего случая cout - тяжело развявязать, я бы сделал print, тогда можно сделать что то типа такого. Ваша программа содержит очень много ссылок, я оставлю три ссылки, операторы '<<' '>>' заменю на методы, потому что оператор так просто пробросить не получится. Строки заменяю на 'char'

    //Обьявляем ссылки на "внешние" зависимые процедуры
    typedef double _cdecl (*a_pow)(double,double); // вычисление корня
    typedef double (*a_print)(char); // телетайп, char* нельзя, 
    typedef double (*a_scan)(int &); // ввод 
    void (*TMyProc1)(a_pow pow, a_print print1, a_scan scan);
    
    
    // т.к. большая вероятность что будут ссылки в память
    // теперь можно реализовать, без использования ссылок
    void MyProc1(a_pow pow, a_print print1, a_scan scan) {
         int a = 0xBAD, b = 0xC0DE;
         scan(a); scan(b);   //std::cin >> a >> b;
        // тут вызов pow которая из аргумента, а не глобальная, поэтому ссылка будет верной
        int c = static_cast<int>(pow(a, pow(b, b))) % static_cast<int(pow(a, b)); 
        if (c == 0) { // убираем switch
           print('c');print(' ');print('=');print(' ');
           print('0');print(10);print(13);
           // std::cout << "c = " << 0 << std::endl;
           } else ; // Допишите все случаи самостоятельно
       }
    // Расшифровать
    TMyProc1  readyMyProc; // Присвоить адрес дешифрованого метода, самостоятельно
    // Реализовать проброс операторов. Операторы просто пробросить не удастся
    void MyScan(int & x) { std::cin >> x;  }
    void MyPrint(char c) { std::cout << c; }
    //   Теперь когда все ссылки могут быть вычислены - можно делать вызов
    readyMyProc(pow, MyPrint, MyScan);
    

Если хотите оперировать строками - строки нужно или создавать побуквенно в локальном массиве 'char[10]' например, или передавать строки в аргументах вашей функции, иначе большой риск получить битую ссылку.

  1. Собирать exe/dll с секцией экспорта, из неё брать код, шифровать, и цеплять к коду rellocation table. После расшифровки кода, обойти rellocation table и сделать правки адресов.

  2. Изучить 2 (рекомендую), найти ссылки самому, составить rellocation table вручную, и сделать правки адресов в точках. Так же иногда ссылки можно достать из map-файла.

  3. Шифровать обьектные файлы, найти "линковщик" или написать "линковщик" самому. Обьектный файл содержит код и ссылки с методами преобразования адресов. Но п2 по-моему гораздо проще.

  4. Шифровать dll, и либо сохранять расшифрованую dll на диск, или найти/написать загрузчик dll память-память. (Усложнённый вариант п2).

  5. Сделать програмное дизассемблирование, вычислить ссылки програмно (примерно так, это делает например... IDA-Pro). Потом - пересчитать ссылки. В отдельных случаях это разрешимо, в некоторых очень сложно, в некоторых невозможно "угадать" (просчитать) ссылки.

2
  • Я думал по поводу поменять точки ссылок на память, точнее пересчитать там адреса и переписать их. Но вопрос в том, как идя по уже расшифрованному коду понять, что это именно адрес? Искать байт 0xe8 (код команды call), а затем менять смещение после него - не вариант, т.к. 0xe8 может быть и просто как операнд команды PUSH или еще что. 6 апр 2021 в 9:37
  • Именно для того что бы не угадывать - придумали rellocation table, инжекцию, генераторы кода и п т п. Добавил п6, да можно искать, и перевычислять примерно как это делает IDA-pro (не зная ссылок ничего не выйдет). Но не всегда вычисления могут закончится успехом.
    – nick_n_a
    6 апр 2021 в 9:49

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.