第十三章 软件反跟踪技术

破坏debug的基本方法
– 具体实现方法:
将这些单元作为堆栈使用 在这些单元中送入软件运行的必要数据; 将软件中某个子程序的地址存放在这些单元中，当需要调用时 使用INT1和INT3指令来代替CALL指令; 放入惩罚性程序的入口地址。
封锁键盘输入
– 在加密系统无须从键盘或屏幕输入、输出信息时，关 闭这些外围设备，以破坏跟踪调试软件的运行环境：
改变键盘中断服务程序、BIOS的键盘I/O中断服务程序的入口 地址 禁止键盘中断 禁止接收键盘数据 不接受指定键法（比如T，P，G等DEBUG键）
破坏debug的基本方法
设置显示器的显示性能
– 当加密系统无需在屏幕上显示信息时，可以通过各种 方法关闭屏幕，这样可使解密者无法得到跟踪调试软 件返回的任何信息，以阻止解密者对加密系统的破译：
反跟踪程序例子 常用工具介绍
软件分析技术概述
在进行软件的破解、解密以及计算机病毒 分析工作中，一个首要的问题是对软件及 病毒进行分析。 这些软件都是机器代码程序，对于它们分 析必须使用静态或动态调试工具，分析跟 踪其汇编代码。
软件分析技术概述
从软件使用说明和操作中分析软件
– 欲破解软件，首先应该先使用该软件，了解一下功能 是否有限制，最好阅读一下软件的说明或手册，特别 是自己所关心的关键部分的使用说明，这样也许能够 找点线索。
破坏debug的基本方法
抑制跟踪中断
– DEBUG的T和G命令分别要运行系统的单步中 断和断点中断服务程序，在系统向量表中这两 个中断的中断向量分别为1和3，中断服务程序 的入口地址分别存放在0000:0004和 0000:000C起始的4个字节中。 – 因此，当这些单元中的内容被修改后，T和G命 令将无法正常执行
反跟踪技术
– 不通过加密系统的译码算法，密码不可破译:
为塑造一个封闭的加密系统，杜绝使用外调自编子 程序甚至手工转换密码，规定只能由加密系统的译 码程序来转换密码;
– 加密系统是不可动态跟踪执行的
动态跟踪是对加密系统的窥视，所以反跟踪技术应 该绝对禁止对加密系统的动态跟踪。
软件反跟踪技术
软件分析技术概述 加密反跟踪技术
第十三章 软件反跟踪技术
软件反跟踪技术
软件分析技术概述 加密反跟踪技术
– 跟踪技术 – 反跟踪技术
执行程序结构 静态跟踪、防静态分析、反防静态分析
软件反跟踪技术
动态跟踪、防动态跟踪
– – – – – –
破坏debug的基本方法 主动检测跟踪法 代码加密法 其他防跟踪方法 小结 软件防跟踪编程技巧
软件分析技术概述
为什么需要动态跟踪分析？
– 许多软件在整体上完成的功能，一般要分解成若干模 块来完成，而且后一模块在执行时，往往需要使用其 前一模块处理的结果，这一结果我们把它叫中间结果。 如果我们只对软件本身进行静态地分析，一般是很难 分析出这些中间结果的。 – 有许多软件在运行时，其最初执行的一段程序往往需 要对该软件的后面各个模块进行一些初始始化工作， 而没有依赖系统的重定位。 – 有许多加密程序为了阻止非法跟踪和阅读，对执行代 码的大部分内容进行了加密变换，而只有很短的一段 程序是明文。加密程序运行时，采用了逐块解密，逐 块执行和方法
主动检测跟踪法
利用时钟中断法
– 在反跟踪技术中利用时钟中断可以定时检查前台任务 执行的情况，如果发现前台的程序被非法跟踪调试， 可以立即采取相应的措施，也可以对中断向量表作定 时检查、计算程序执行时间、密文的译码操作和前面 说到的定时清屏等等
PSP法
– 每个程序在执行时都必须建立对应的程序段前缀PSP， 当程序未被跟踪执行时，PSP中14H与16H开始的两个 字节是相同的，当被跟踪运行时，这些内容就不会相 同。
封锁屏幕显示:可以重新设置屏幕特性，将前景和背景色彩置 成同一种颜色，使解密者在跟踪期间无法看见调试信息 通过获取屏幕信息的检查加密系统是否处于被监控状态 修改显示器I/O中断服务程序的入口地址 定时清屏 直接对视屏缓冲区操作
破坏debug的基本方法
DEBUG等跟踪调试软件在运行时大量地使 用了DOS提供的各类中断，不仅如此，比 DEBUG功能更强大，甚至针对反跟踪技术 设计的高级反反跟踪调试软件也调用了 DOS中断，典型的例子就是使用其它中断 来代替断点中断的反反跟踪技术。 破坏中断向量表显然可以从根本上破坏一 切跟踪调试软件的运行环境，以达到"以不 应万变"的最终目的
– 跟踪技术 – 反跟踪技术
执行程序结构 静态跟踪、防静态分析、反防静态分析
执行程序结构
在微机上主要可执行程序是COM格式与EXE格式。 COM文件结构是程序在一个段中，无堆栈，长度 小于64k，在程序头预留100h字节，在偏移为 100h处是可执行代码。 COM文件加载过程为：
– 在可用内存低端建立程序段前缀psp，长度100h – Psp上方读入com文件 – Pc＝psp＋100h
执行程序结构
Exe文件结构包括：
– 文件头
格式化区 重定位表
– 程序体
代码段 数据段 堆栈段
Exe文件的长度可以大于64k。
Exe文件头格式为：
偏移量 00h-01h 2h-03h 04h-05h 06h-07h 08h-09h 0ah-0bh 0ch-0dh 意义 MZ，为EXE文 件标记 文件长度除512 的余数 文件长度除512 的商 偏移量 0eh-0fh 10h-11h 12h-13h 意义 堆栈段的段值 (SS) SP 文件校验和 被装入模块入口 IP值 被装入模块入口 的CS 第一个重定位项 的位移 覆盖号 可变保留区
反跟踪技术
作为反拷贝技术的保护者反跟踪技术是整 个磁盘加密技术中最能显示技术水平的部 分，如果它稍有漏洞就会影响到整个磁盘 加密技术的可靠性。
反跟踪技术
一个有效的反跟踪技术应该具有3大特性：
– 重要程序段是不可跳越和修改的
PROLOK的解密过程是通过修改判读指纹的程序段 来实现的，这其实是激光加密系统中反跟踪技术的 一个败笔，一个有效的反跟踪技术应该对加密系统 中的某些甚至全部程序段进行保护，如果这其中有 内容被修改，将导致出错 主要方法有累计、累或和异或和程序段等方法 同时还要保证重要程序段一定要被执行，方法主要 有加密程序分段加密，运行时逐层解密，逐层清除 的方法，即只有运行了重要的程序段，才能将下一 层程序代码从密码形式转换成明码形式
软件反跟踪技术
软件分析技术概述 加密反跟踪技术
– 跟踪技术 – 反跟踪技术
执行程序结构 静态跟踪、防静态分析、反防静态分析
加密反跟踪技术
跟踪技术
– DOS中的动态跟踪调试软件DEBUG – 单步中断和断点中断 – 通过对单步中断和断点中断的合理组合，可以 产生强大的动态调试跟踪功能，这就对磁盘加 密技术造成了巨大的威慑，所以破坏单步中断 和断点中断，在反跟踪技术中就显得十分必要， 成为反跟踪技术中的"必修课"。
主动检测跟踪法
定时检测法
– 一个程序在正常运行和被跟踪运行时，所花的时间是 大不相同的，可以想象一个被跟踪运行的程序往往要 花费极长的时间，反跟踪技术抓住这个特点，根据执 行时间的长短来判断是否被跟踪。
偶尔检测法
– 在加密系统中加入判断时间的功能，并且当时间满足 某一条件时再对加密系统中的关键部位进行判断，如 果关键部位不存在或发现了变化则可判定加密系统已 经被破坏，应立即做出相应的反应
静态跟踪、防静态分析、反防静态分析
反防静态分析是针对防静态分析而应用的技术， 主要使用动态跟踪方法，通过跟踪程序的运行， 寻找真实判定正版处的跳转，修改代码，使得先 解密，忽略判定条件，直接执行程序体。 一种较为高级防静态分析方法，是后续模块需要 前面的模块运行结果，仅仅看代码是无法了解程 序控制流，这样可以防止破解者阅读程序。另外 的方法还有程序自行初始化，不使用系统重定位 的方法，也破坏汇编代码的解释。
– 初始化寄存器 – 控制权转移，开始执行
软件反跟踪技术
软件分析技术概述 加密反跟踪技术
– 跟踪技术 – 反跟踪技术
执行程序结构 静态跟踪、防静态分析、反防静态分析
静态跟踪、防静态分析、反防静态分析
静态跟踪，使用反汇编程序将可执行程序 转换为汇编程序，阅读汇编程序以获得原 始信息的方法。 防静态跟踪是将关键代码变形，使得反编 译结果不知所云的技术。防静态分析，必 须防止从反汇编的程序清单入手分析的方 法，必须防止用户对代码的静态分析与阅 读。
主动检测跟踪法
中断检测法
– 一个执行的程序如未被跟踪，则INT1和INT3的 入口地址相同，且都为哑中断，如被跟踪则相 反，所以通过检测INT1和INT3的入口地址即可 判断是否被跟踪。
设置堆栈指针法
跟踪调试软件在运行时，会产生对堆栈的 操作动作，比如:保存断点。因而在反跟踪 技术中对于堆栈指针的运用就显得相当重 要了，比如对堆栈指针的值进行设计，并 力求使设计的结果具备一定的抗修改性， 以免解密者通过再次修改堆栈指针的值来 达到继续跟踪的目的。
静态反汇编
– 所谓静态分析即从反汇编出来的程序清单上分析。 – 大多数软件在设计时，都采用了人机对话方式，所以 提示信息入手进行分析。 – crack时常用的静态分析工具是W32DASM和HIEW等。
软件分析技术概述
动态跟踪分析
– 虽然从静态上可以了解程序的思路，但是并不 可能真正了解地了解软件的细节，如静态分析 找不出线索，就要动态分析程序 – 另外，碰到压缩程序，静态分析就无能为力了， 只能动态分析了 – 所谓动态分析是利用SOFTICE或TRW2000一文件头除16的商 16h-17h 程序运行所需最 18h-19h 小段数 程序运行所需最 1ah-1bh 大段数 1ch
执行程序结构
Exe文件装载过程是
– – – – 确定内存起始段 确定长度 读exe文件到内存 根据重定位表对内存的exe文件体进行重定位