Memahami Teknik Pengkaburan

Salah satu teknik pengkaburan yang lazim ialah anti-penyahpepijatan. Teknik ini melibatkan kod yang cuba mengesan sama ada kod tersebut dijalankan dalam penyahpepijat.

Jika penyahpepijat dikesan, atur cara mungkin:

• Menamatkan dirinya sendiri.
• Mengubah tingkah lakunya untuk mengelirukan penganalisis.
• Memasuki gelung tanpa henti.

Bagaimanakah kod mengesan penyahpepijat? Kod menggunakan pelbagai pemeriksaan:

• Panggilan API: Dalam Windows, fungsi seperti IsDebuggerPresent() boleh digunakan.
• Pemeriksaan Masa: Penyahpepijat sering memperlahankan pelaksanaan. Kod mungkin mengukur masa pelaksanaan bagi operasi tertentu.
• Daftar Penyahpepijatan: Memeriksa perubahan pada daftar penyahpepijatan CPU (DR0-DR7).
• Pemeriksaan Proses Induk: Memeriksa proses induk untuk melihat sama ada ia penyahpepijat yang diketahui.

Teknik anti-penyahhimpunan bertujuan mengelirukan alat analisis statik seperti penyahhimpun dan penyahkompil.

Matlamatnya adalah menjadikan kod himpunan atau pseudokod yang dijana sukar ditafsir, sekali gus menyembunyikan logik sebenar atur cara.

Berikut ialah beberapa cara anti-penyahhimpunan berfungsi:

• Arahan Sampah: Menyisipkan arahan yang tidak sah atau tidak berguna, yang mungkin disalah tafsir oleh penyahhimpun.
• Perataan Aliran Kawalan: Menggantikan lompatan dan panggilan langsung dengan pernyataan switch yang kompleks atau lompatan tidak langsung, sehingga menyukarkan penjejakan aliran atur cara.
• Predikat Kabur: Pernyataan bersyarat yang sentiasa menghasilkan benar atau palsu, tetapi direka supaya sukar ditentukan oleh alat analisis statik.
• Kod Pengubahsuaian Kendiri: Kod yang mengubah dirinya sendiri semasa masa jalan, menyebabkan analisis statik awal menjadi tidak tepat.

Pemayaan kod ialah teknik pengkaburan lanjutan. Daripada menjalankan kod mesin asli secara langsung pada CPU, kod asal ditukarkan kepada set arahan tersuai.

Set arahan tersuai ini kemudiannya dilaksanakan oleh pentafsir mesin maya (VM) kecil yang disematkan dalam atur cara itu sendiri.

Bayangkan terdapat CPU mini di dalam program anda. Inilah idea asasnya:

• Opcode Tersuai: Arahan asal (contohnya, ADD, JMP) digantikan dengan opcode 'maya' yang unik dan tersuai (contohnya, V_ADD, V_JMP).
• Penterjemah VM: Sebahagian kod khas bertindak sebagai CPU, mengambil opcode maya ini, menyahkodnya dan melaksanakan operasi natif yang sepadan.
• Pengurusan Keadaan: VM mengekalkan daftar dan tindanan mayanya sendiri, yang berasingan sepenuhnya daripada CPU sebenar.

Hal ini menjadikan analisis amat mencabar kerana anda tidak lagi melihat arahan CPU standard.

Selain anti-penyahpepijatan, anti-nyahhimpunan dan pemayaan, teknik lain termasuk:

• Pemampatan/Penyulitan: Memampatkan atau menyulitkan keseluruhan binari atau sebahagian daripadanya, yang perlu dinyahmampat atau dinyahsulit semasa masa jalan.
• Pengeliruan Rentetan: Menyulitkan atau mengekod rentetan sensitif seperti URL dan kunci API supaya tidak mudah ditemui dalam binari.
• Anti-Pengusikan: Kod yang menyemak integritinya sendiri untuk memastikan kod tersebut tidak diubah suai oleh penyerang.

Dalam pelajaran ini, kita meneroka pelbagai teknik pengeliruan kod:

• Anti-Penyahpepijatan: Mengesan dan bertindak balas terhadap penyahpepijat.
• Anti-Nyahhimpunan: Mengelirukan alat analisis statik dengan kod sampah, perataan aliran kawalan dan predikat legap.
• Pemayaan Kod: Mengubah kod natif menjadi set arahan tersuai yang dilaksanakan oleh mesin maya terbenam.
• Kaedah lain seperti pemampatan, penyulitan dan anti-pengusikan.

Teknik ini menjadikan kejuruteraan songsang jauh lebih mencabar, sama ada untuk perlindungan harta intelek yang sah atau pengelakan berniat jahat.