SMC自修改代码

文章发布时间:

最后更新时间:

文章总字数:
673

预计阅读时间:
2 分钟

自修改代码（Self-Modifying Code，SMC）指程序在运行过程中修改即将执行的代码。常见做法是把关键逻辑以加密形式保存在可执行文件或资源区中，运行时再动态解密、执行，执行后也可能再次加密，借此增加静态分析难度。

从逆向视角看，SMC 的核心特征通常包括：

  • 程序会修改代码段权限，例如调用 VirtualProtect。
  • 某段代码在静态视图中像乱码或无意义指令。
  • 调试运行到特定位置后，原本异常的代码会被还原成可执行逻辑。
  • 有些样本会在执行后重新加密，防止直接 dump。

一段展示 SMC 思路的伪代码：

1
2
3
4
5
6
7
if(运行条件满足){
	DecryptProc(Address of check)//对check代码解密
	//......
	check();//调用check
	//......
	EncryptProc(Address of check)//再对代码进行加密,防止程序被dump
	}

以下打造一个使用SMC进行静态分析对抗的示例,首先正常写一个程序:

1
2
3
4
5
6
7
8
9
10
11
12
#include<stdio.h>
int check(int in) {
	return in == 12345;
}
int main()
{
	int input;
	scanf("%d", &input);
	if (check(input))   
		printf("good!");
	return 0;
}

然后我们想把check这个函数保护起来,先把其机器码摘出来进行加密:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
#include<stdio.h>
#include<windows.h>
int check(int in) {
	return in == 12345;
}
void decryption()
{
	DWORD old;
	VirtualProtect(check, 4096, PAGE_EXECUTE_READWRITE, &old);//VirtualProtect这个存在于Windows库里的函数作用为对函数进行权限修改
	int de = 0x11;
	for (int j = 0; j < 36; j++)
	{
		*((char*)check + j) ^= de;
		de++;
	}
	VirtualProtect(check, 4096, old, NULL);
}
int main()
{
	int input;
	scanf("%d", &input);
	
	

	decryption();

	

	if (check(input))
		printf("good!");
	return 0;
}
 //unsigned char ida_chars[] =
 //{
 //   0x55, 0x8b, 0xec, 0x51, 0x81, 0x7d, 0x08, 0x39, 0x30, 0x00, 
 //0x00, 0x75, 0x09, 0xc7, 0x45, 0xfc, 0x01, 0x00, 0x00, 0x00,
 //0xeb, 0x07, 0xc7, 0x45, 0xfc, 0x00, 0x00, 0x00, 0x00, 0x8b,
 //0x45, 0xfc, 0x8b, 0xe5, 0x5d, 0xc3
 //};
 // int main()
 // {
 // 	int a = 0x11;
 // 	for (int i = 0; i < sizeof(ida_chars); i++)
 // 	{

 // 		ida_chars[i] ^= a;
 // 		a++;
 // 		printf("%02x",ida_chars[i]);
 // 	}
 // 	return 0;
 // }

另一种常见的实现方法是通过新增一个具备RWX属性的程序段，将需要保护的代码书写在其中，这样就可以避免调用 virtualAl1oc/virtualProtect/mprotect 这类API来暴露SMC 的意图。

对抗思路:

能动态调试最好直接动态调试，因为在程序运行的某一时刻，它一定是解密完成的，这时也就暴露了，使用动态分析运行到这一时刻即可过掉保护。
其次是根据静态分析获得解密算法，写出解密脚本提前解密这段代码。
解密得到的机器码可以通过IDAPython的patch_byte接口很方便地写回。

打赏
支付宝
微信
≡