MASM的反反汇编技术
相关的例子:下载>>> 作者:AoGo 于2002-7-9上传 

  由于汇编语言是与机器语言机器码一一对应的,所以程序的代码非常简洁,编译、链接程序不会在其中加入任何其它代码,所以,用Win32DASM等把汇编工具反汇编汇编语言写的程序,其列出的汇编代码几乎与编写的顺序、过程、代码一模一样,这也是汇编语言简洁的证据。
  但是这种过于简洁的代码却给了破解者提供了方便,破解者只需要有一定的Windows SDK编程与汇编的经验,破解就非常简单,根本不需要用SoftICE这些动态工具就可以破解。于是,相应的防止跟踪的技术就出来了,比如花指令、不按规则调用API等等,今天就花指令和大家研究研究。
  花指令,其实就是在程序中加入一些字节来干扰静态工具反汇编,毕竟汇编工具没有人的思维,所以这招非常好骗。
  打开EditPlus,新建一个ASM - Sample文件,输入以下代码:
.386
.Model Flat, StdCall
  Option Casemap :None

  Include windows.inc
  Include user32.inc
  Include kernel32.inc

  IncludeLib user32.lib
  IncludeLib kernel32.lib
.data
  Welcome db "欢迎来到汇编的世界",0
.CODE
  START:
  invoke MessageBox,0,offset Welcome,0,0
  invoke ExitProcess,0
  END START
  保存,Ctrl + 1编译。
  用Win32DASM打开编译后的文件,可以在其菜单命令[函数]->[输入]中看到我们使用了的MessageBox与ExitProcess名字,在菜单命令[参考]->[字符串]中看到我们定义的字符串Welcome的值,假如您的程序这段代码要做的是在用户输入错误的注册码后报错,那么,破解者只需要找到对话框显示的字符串使用的地址,然后向上查找跳到此地址的跳转指令,更改指令就能轻易破解,我们要做的,就是把字符串隐藏起来,不让破解者轻易找到它的地址,如下:
  ;先关闭Win32DASM(以下同).
  ... ...
  lea eax,Welcome
  invoke MessageBox,0,eax,0,0
  ... ...
  也就是说,我们并没有使用花指令,而是在使用字符串时先把字符串的地址传给eax,然后再把eax做为参数传给MessageBox,这样做,Win23DASM这些反汇编工具就无法识别了,好,用Win32DASM重新打开编译的文件,在[参考]菜单中,[字符串]这一项灰色显示,提示这个程序没有字符串,骗过它了!^_^
  还有就是使用花指令,花指令不但可以使反汇编工具无法识别出字符串,更会让它们把汇编出错误的代码,花指令一般都是使用一些无用的字节来进行干扰,但是干扰反汇编的字节仍是可以使用的,像这样子:
  ... ...
  jz @F
  jnz @F
   www db "欢迎来到汇编世界",0
  @@:
  lea eax,www
  lea ebx,Welcome
  invoke MessageBox,0,eax,ebx,0
  invoke ExitProcess,0
  ... ...
  编译后再用Win32DASM打开EXE,发现不但[字符串]这一项灰色显示,反汇编出来的代码变得面目全非,现在的程序只有很少的代码,如果代码一多,破解者不晕才怪,不过这样只会把一些初级破解者难倒,有经验的破解者根据jz与jnz的跳转是否指向不存在的地址而知道使用了花指令,还可以根据MessageBox的使用地址来进行分析,我们现在要做的就是使用手工调用API加花指令来骗反汇编工具,如下:
  ... ...
  lea eax,Welcome
  push 0
  push 0
  push eax
  push 0
  jz @F
  jnz @F
   www db "欢迎来到汇编世界",0
  @@:
  call [MessageBox]
  invoke ExitProcess,0
  ... ...
  (上述代码WinDASM32黄金版能正确识别)
  也就是说,在压入参数后,不要马上使用call来调用API,而是在调用前使用花指令,结果会怎样?编译后进行反汇编,看看吧,不但[字符串]这一项灰色显示,[函数]->[输入]一项也是灰色,哈,骗过了!再看看把汇编出来的代码,天啦,乱七八糟的,如果这些代码是在一个几百K的程序中,我看那个破解者如何应付,哈,他不晕才怪!
  再来点狠的:
;=================
;完整API花指令示例:
;=================
.386
.Model Flat, StdCall
Option Casemap :None   ; 不区分大小写(对API与API常数无效)
;_____________________________________________________________
Include windows.inc
Include user32.inc
Include kernel32.inc

IncludeLib user32.lib
IncludeLib kernel32.lib
.CODE
START:
  push 0
  push 0
  push offset Welcome
  push 0
  jz @F
  jnz @F
  Welcome db "Welcome",0   
@@:
  mov eax,[MessageBox+4]
  sub eax,4
  jnz @F
    Welcome1 db "Welcome",0   
@@:
  call eax
  invoke ExitProcess,0
  END START
  再看看反汇编的代码,更加!@$$%#!@#$。
  顺便说一句,上面的"完整API花指令示例"对付SoftICE一样有效,虽然SoftICE能用MessageBoxA中断上面的程序,但是,它反汇编出来的代码一样是惨不忍睹,

  不过,程序中也不要过份使用花指令啦,一般只有在关键的代码才使用这些,如果您整个程序都使用花指令,不但会让破解者恼火,也会让你自己恼火的--这么多$%@$!@##@#的代码,您怎么维护啊。哈...


欢迎访问AoGo汇编小站:http://www.aogosoft.com