本文介绍了SMC（Static Machine Code）技术，讲解了如何使用C/C++对整个代码段进行SMC方式的加密和解密，以增强程序的安全性。
摘要：所谓SMC（Self Modifying Code）技术,就是一种将可执行文件中的代码或数据进行加密，防止别人使用逆向工程工具（比如一些常见的反汇编工具）对程序进行静态分析的方法，只有程序运行时才对代码和数据进行解密，从而正常运行程序和访问数据。计算机病毒通常也会采用SMC技术动态修改内存中的可执行代码来达到变形或对代码加密的目的，从而躲过杀毒软件的查杀或者迷惑反病毒工作者对代码进行分析。由于该技术需要直接读写对内存中的机器码，所以多采用汇编语言实现，这使得很多想在自己的程序中使用SMC技术进行软件加密的C/C++程序员望而却步。针对这种现状，本文提出了几种基于C/C++语言的机器指令定位方法，从而用C/C++语言实现了动态代码修改技术。
关键词：SMC 动态代码修改 软件加密
|
|
一、什么是SMC技术
所谓SMC（Self Modifying Code）技术,就是一种将可执行文件中的代码或数据进行加密，防止别人使用逆向工程工具（比如一些常见的反汇编工具）对程序进行静态分析的方法，只有程序运行时才对代码和数据进行解密，从而正常运行程序和访问数据。计算机病毒通常也会采用SMC技术动态修改内存中的可执行代码来达到变形或对代码加密的目的，从而躲过杀毒软件的查杀或者迷惑反病毒工作者对代码进行分析。现在，很多加密软件（或者称为“壳”程序）为了防止Cracker（破解者）跟踪自己的代码，也采用了动态代码修改技术对自身代码进行保护。以下的伪代码演示了一种SMC技术的典型应用：
proc main:
............
IF .运行条件满足
CALL DecryptProc （Address of MyProc）;对某个函数代码解密
........
CALL MyProc ;调用这个函数
........
CALL EncryptProc （Address of MyProc）;再对代码进行加密，防止程序被Dump
......
end main
在自己的软件中使用SMC（代码自修改）技术可以极大地提高软件的安全性，保护私有数据和关键功能代码，对防止软件破解也可以起到很好的作用。但是，SMC技术需要直接读写对内存中的机器码，需要对汇编语言和机器码有相当的了解，具体的实现一般都是采用汇编语言。由于汇编语言晦涩难懂，不容易掌握，这使得很多想在自己的程序中使用SMC技术进行软件加密的C/C++程序员望而却步。难道只能用汇编语言实现SMC技术？其实不然，从理论上讲，只要支持指针变量和内存直接访问，象C/C++这样的高级语言一样可以使用SMC技术。本文就是利用C/C++语言的一些特性，比如函数地址和变量地址直接访问等特性，实现了几种对运行中的代码和数据进行动态加密和解密的方法。首先是利用Windows可执行文件的结构特性，实现了一种对整个代码段进行动态加密解密的方法；接着又利用C/C++语言中函数名称就是函数地址的特性，实现了一种对函数整体进行加密解密的方法；最后采用在代码中插入特征代码序列，通过查找匹配特征代码序列定位代码的方式，实现了一种对任意代码片断进行解密解密的方法。下面就分别介绍这几种方法。
二、对整个代码段使用SMC方式加密解密
在程序中使用SMC最简单的方法就是修改（或加密）整个数据段或代码段，这里首先要讲一下“段”的概念。这个“段”有两层含义，第一层含义是程序在内存中的分布，老的16位操作系统对内存使用分段映射的方式，使用不同的段分别存放代码、数据和堆栈，使用专用的基址寄存器访问这些段，于是就有了代码段、数据段和堆栈段等等区分。随着32位Windows的兴起，一种新的32位平坦（Flat）内存模式被引入Windows内存管理机制，在平坦模式下对段的区分已经没有意义了，但是段的概念依然被保留下来，这些同名的基址寄存器现在被成为“段选择器”，只是它们的作用和普通的寄存器已经没有区别了。段的另一层含义是指保存在磁盘上的Windows可执行文件中的数据结构（就是PE文件中的Section），是Windows在装载这个可执行文件时对代码和数据定位的参考。不过要真正理解段的概念，还需要了解Windows 可执行文件的结构和Windows将可执行文件加载到内存中的方式。
Microsoft为它的32位Windows系统设计了一种全新的可执行文件格式，被成为“Portable Executable”，也就是PE格式，PE格式的可执行文件适用于包括Windows 9X、Windows NT、Windows 2000、Windows XP以及Windows 2003在内的所有32位操作系统，估计以后的Windows新版本也将继续支持PE格式。PE文件格式将文件数据组织成一个线性的数据结构，图2-1展示了一个标准PE文件的映象结构：
位于文件最开始部位的是一个MS-DOS头部和一段DOS stub代码，在PE文件中保留这一部分是为了DOS和Windows系统共存那一段时期设计的，当程序运行在DOS系统时，DOS系统按照DOS可执行文件的格式调用DOS stub代码，一个典型的DOS stub代码就是在控制台上输出一行提示：“This program cannot be run in MS-DOS mode”，当然不同的编译器产生的DOS stub代码也各不相同。曾经有一段时间很流行一种既可以在DOS系统上运行，又可以在Windows上运行的程序，其原理就是人为地替换这段DOS stub代码。紧跟在DOS stub代码之后的就是PE文件的内容了，首先是一个PE文件标志，这个标志有4个字节，也就是“PE/0/0”。这之后紧接着PE文件头（PE Header）和可选头部（Optional Header，也可以理解为这个PE文件的一些选项和参数）,这两个头结构存放PE文件的很多重要信息，比如文件包含的段（Sections）数、时间戳、装入基址和程序入口点等信息。这些之后是所有的段头部，段头部之后跟随着所有的段实体。PE文件的尾部还可能包含其它一些混杂的信息，包括重分配信息、调试符号表信息、行号信息等等，这些信息并不是一个PE文件必须的部分，比如正常发布的Release版本的程序就没有调试符号表信息和行号信息，所以图2-1 表示的结构图中省略了这些信息。
在整个头结构中，我们关心的仅仅是各个段的段头部，因为段头部包含这个段在文件中的起始位置、长度以及该段被映射到内存中的相对位置，在对内存中的代码修改时，需要这些信息定位内存读写地址和读写区域长度。下面来看看winnt.h中对段首部的定义，
typedef struct _IMAGE_SECTION_HEADER {
BYTE Name[IMAGE_SIZEOF_SHORT_NAME];
union {
DWORD PhysicalAddress;
DWORD VirtualSize;
} Misc;
DWORD VirtualAddress;
DWORD SizeOfRawData;
DWORD PointerToRawData;
DWORD PointerToRelocations;
DWORD PointerToLinenumbers;
WORD NumberOfRelocations;
WORD NumberOfLinenumbers;
DWORD Characteristics;
} IMAGE_SECTION_HEADER, *PIMAGE_SECTION_HEADER;
在这个头结构中我们关心的是Name、VirtualSize、VirtualAddress和Characteristics四个属性。Name是这个段的名称，长度是8个字节，段名称一般以“.”开始，如“.text”，“.data”等等，但是这并不意味着段名称必须以“.”开始，这只是Microsoft的编译器的一个约定，很多编译器并不遵循这个约定。段名称对直接修改内存代码和数据是一个很重要的属性。因为在内存中定位段头部是通过搜索这个Name字符串来实现的。VirtualSize是一个段的真实长度，它有别于SizeOfRawData，SizeOfRawData是文件对齐后的长度，通常PE文件是以200H字节对齐的，所以SizeOfRawData是200H的整数倍。但是被Windows装入内存中就不一定是按照200H字节对齐了，所以要用VirtualSize来确定段的长度。VirtualAddress是这个段在内存中的相对虚地址（RVA），这个相对虚地址加上程序加载的基地址就是这个段在内存中的真正地址。最后是段属性Characteristics，操作这个段属性的目的是为这个段增加可写入的属性，因为Windows不允许向一个只读的段写数据。段属性由一些标志位组成，各个常用标志位的含义以及它们的值如下表所示：
Flag 意义
0x00000020 这是一个代码段
0x00000040 这个段包含已初始化数据
0x00000080 这个段包含未初始化数据
0x02000000 这个段的数据可被丢弃（EXE文件装载完成后，进程就不需要这些数据了）
0x10000000 该段可以执行
0x20000000 该段为共享段
0x40
最低0.47元/天 解锁文章
扫一扫
791
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
