Есть скомпилированный C++-код, часть которого шифруется в бинарном файле обычным xor'ом. Вот так выгляди часть, которую шифруется и, которую потом нужно расшифровать во время исполнения программы:
int a = 0xBAD, b = 0xC0DE;
std::cin >> a >> b;
int c = static_cast<int>(pow(a, pow(b, b))) % static_cast<int>(pow(a, b));
switch (c)
{
case 0:
std::cout << "c = " << 0 << std::endl;
break;
case 1:
std::cout << "c = " << 1 << std::endl;
break;
case 2:
std::cout << "c = " << 2 << std::endl;
break;
case 3:
std::cout << "c = " << 3 << std::endl;
break;
default:
std::cout << "c = " << c << std::endl;
}
Для расшифровки его во время выполнения программы я выделаю буффер с правами выполнения в нем кода, копирую туда зашифрованный код, расшифровываю его и передаю выполнение на этот участок кода:
LPVOID ptr = VirtualAlloc(NULL, end - begin, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);
memcpy(ptr, begin, end - begin);
//decryption here
((void(*)(void))ptr)();
Тут begin
и end
соответственно адреса начала и конца зашифрованного кода. До определенного момента расшифрованный код выполняется корректно, а именно до инструкции с вызовом std::cin
. Поскольку вызов std::cin
и std::cout
вызывается и использованием near call
, то смещения, используемые в этом call
оказываются совсем неверными для кода, выполняемого в выделенной памяти.
Отсюда возникает вопрос: как правильно расшифровать зашифрованный код в буфер и выполнить его так, чтобы он работал? Из вариантов, которые приходят на ум, это как-то в зашифрованном коде искать вызов команды call и переписывать в нем смещение, но этот вариант не выглядит самым разумным.
Вариант расшифровки кода именно в зашифрованную память не подходит, т.к. тогда придется отключать DEP в компоновщике.
call
?call
. До инструкцииcall
происходит присвоение значения переменным, помещении их адресов вeax
иecx
и ещеmov ecx, offset dword_43E048