浅析SMC技术

SMC是英文Self-Modifying Code的缩写形式，顾名思义，就是“代码自修改”也就是说可以在一段代码执行之前先对它进行修改。
   SMC技术在DOS时代非常流行，因为DOS时代更接近系统底层。所以即便是现在实现SMC技术，都以汇编码最为方便。
  
      ‘利用SMC技术的这个特点，在设计加密方案时，可以把代码以加密形式保存在可执行文件中，然后在程序执行时再动态解密，这样可以有效地对付静态分析。因此要想了解被加密的代码的功能，只有动态跟踪或者分析出解密函数的位置编写程序来解密这些代码。’
      实际运用中，SMC技术用途是相当广泛的，并不仅仅是用来反跟踪。这是靠运用者的思维来决定。
      然而，可能会有人说SMC今天已过时。但这并不影响要求像我这样的初学者了解SMC技术，至少要知道SMC这个概念。



下面用老罗的一个例程来说明SMC技术的运用：

是用汇编，虽然 SMC并不是汇编的专利！
可能路过的朋友对长篇的汇编码感到烦乱，不过没关系
我在这里作一点指引：
我们可以把这个例程结构理解为

1，invoke ShowMessage
2，修改ShowMessage proc
3，invoke ShowMessage


好了
我们看老罗的源码吧：
声明：
对于Ring3程序来说，.code段默认是不可写！所以MASM里通过链接改变其属性：

ml /c /coff %1.asm
link /subsystem:windows /section:.text,RWE %1.obj

/section:.text,RWE 这句指定了代码段（.text）的属性是RWE，含义是：R（ReadAble），W（WriteAble），E（ExecuteAble）！

;***********************************************
;程序名称：演示SMC原理
;作者：罗聪
;日期：2002-10-2
;出处：http://laoluoc.yeah.net（老罗的缤纷天地）
;注意事项：如欲转载，请保持本程序的完整，并注明：
;转载自“老罗的缤纷天地”（http://laoluoc.yeah.net）
;***********************************************

.386
.model flat, stdcall
option casemap:none

include \masm32\include\windows.inc
include \masm32\include\kernel32.inc
include \masm32\include\user32.inc
includelib \masm32\lib\kernel32.lib
includelib \masm32\lib\user32.lib

ShowMessage    proto
ReplaceMent    proto

.data
szMsg1        db    "这是未执行SMC之前的代码！", 0
szMsg2        db    "SMC已经执行！", 0
szCaption     db    "SMC demo by LC, 2002", 0
Replace_Len   dd    0

.code
main:
    ;第一次执行子程序ShowMessage，此时还没执行SMC操作
    invoke ShowMessage

    lea eax, ReplaceMentEnd      ;标号ReplaceMent的结束
    lea edx, ReplaceMentStart    ;标号ReplaceMent的开始
    sub eax, edx                 ;标号ReplaceMent的长度
    mov Replace_Len, eax         ;把长度储存起来

    ;关键代码！！！！！！！！！
    lea esi, ReplaceMentStart    ;标号ReplaceMent的开始
    lea edi, ShowMessageStart    ;原程序ShowMessage的标号的开始
    mov ecx, Replace_Len         ;标号ReplaceMent的长度
    rep movsb                    ;这里是最关键的语句！！！执行SMC操作！

    ;第二次执行子程序ShowMessage，此时已经执行了SMC操作。
    ;换句话说，ShowMessage的内容已经不是第一次运行时的内容了：
    invoke ShowMessage

    invoke ExitProcess, 0

ShowMessage    proc
    ;这里用“::”的话，就能够使标号成为全局性的
    ShowMessageStart::
        invoke MessageBox, NULL, addr szMsg1, addr szCaption, MB_OK
    ShowMessageEnd::

    ;用nop来预留空间，以便后面的SMC能够成功执行；
    ;否则如果空间不够，将有可能产生不可预测的错误：
    nop
    nop
    nop
    nop
    nop
    nop
    nop
    nop

    ret
ShowMessage    endp

ReplaceMent    proc
    ;将要用来SMC的代码：
    ReplaceMentStart::
        ;invoke MessageBox, NULL, addr szMsg2, addr szCaption, MB_OK or MB_ICONINFORMATION
        push    MB_OK or MB_ICONINFORMATION
        lea     eax, szCaption
        push    eax
        lea     eax, szMsg2
        push    eax
        push    NULL
        lea     eax, MessageBox
        call    eax
    ReplaceMentEnd::

    ret
ReplaceMent endp

end main

第二次执行ShowMessage proc时结果已经是跟第一次执行的不同了
因为在第二次执行之前ShowMessaeg proc内容已经被改变
所以结果当然不同

就是我们爆破软件那样，通过手工修改一定区域代码实现返回不同结果！
这里就是 Self-Modifying Code，让机器自己修改。

所以， SMC是非常实用，至少有必要了解的东西！