171211 逆向-高级反调试技术

1625-5 王子昂 总结《2017年12月11日》 【连续第437天总结】
A. 《逆向工程核心原理》-高级反调试技术
B.

花指令

这种反调的难度可高可低，不过对于只靠F5的萌新们都是无解的

简单的只是在代码块之间放置一些垃圾代码，通过jmp跳过，使得反汇编不正确，进而影响F5的反编译
只需要清除干扰指令，或者动态调试跟一下就能很轻松的解决

复杂的则会随机插入大量的花指令，与正确代码混杂在一起，很难辨识

基本上只能靠动态调试来理清执行顺序，再进一步分析了

加壳

保护壳这个东西很恐怖(:з」∠)只会ESP这种级别的我就不多说了
（其实是没见识过多少壳，不敢碰。看完这本去读《加密与解密》和52的教程再说吧）

Stolen Bytes（Remove OEP）

这个反调方法是第一次见…
简单来说就是将OEP的部分代码转移到另一个地方，使得很难Dump；另一方面对OEP的查找也会变得困难，陷入懵逼的境地
（当然知道了这种方法的存在也许会好点儿……吧）

OEP被转移的代码有时还会被处理，例如加花，动态解密，甚至运行完就删除……
安全人员的操作真是骚的不行OTZ

API重定向

这个也第一次见
由于逆向人员可以直接将断点下在系统Dll中，从而断到关键API
于是安全人员就想出了针对其的方法—将APIdump出来并修改IAT，使得不会再调用系统Dll的API
（其实就相当