¿Ejecutar datos como código?

Question

Mi cliente me pidió que escribiera un archivo ejecutable encriptado personalizado para evitar el agrietamiento fácil del sistema de licencias. Ahora, entiendo que esto es una falsa sensación de seguridad, pero a pesar de esto él insistió en ello.

Así, Desenterré mis conocimientos de ejecutables portátiles y se acercó con esta idea:

• Cifrar el ejecutable
• palillo de esto al final de un ejecutable cargador junto con su tamaño
• El el cargador descifra los datos
• Copia el código en una página asignada con VirtualAlloc que tiene permisos ejecutables
• Encuentra el punto de entrada de la aplicación
• Salta allí y estamos listos.

Tengo un problema con la parte de saltar allí. ¿Cómo puedo hacer eso? Si tuviera que establecer un puntero a la función, ¿cuál sería la firma? ¿La firma de la función main() del ejecutable cargado? ¿O necesito recurrir al montaje?

Entiendo que podría ser necesario corregir las direcciones absolutas después de cargar el código. ¿Cómo compruebo si es necesario y cómo realizo esto?

Editar: Trabajando en Windows y compilando con GCC. Puedo cambiar el compilador de Microsoft si es necesario.

Edit2: Para aclarar: SÉ que en su mayor parte no tiene sentido. Creo que representa cualquier tipo de DRM. Depende de mi cliente decidir, y todavía lo quiere a pesar de que yo le advierto sobre esto.

Gracias de antemano.

Answer 1

Como han mencionado otros, simplemente cargar todo el archivo EXE en una sección de datos y vincularlo en el tiempo de ejecución es una tarea difícil; Sin embargo, aquí hay otra opción.

Tome su entrada EXE; encuentre su código y secciones de datos inicializados (incluyendo constante). Cambie el nombre de estas secciones y conviértelos a secciones de datos inicializados de lectura-escritura; Encriptar los contenidos. Ahora agregue un nuevo segmento de código que contenga su talón de descifrado y cambie el punto de entrada allí. Este apéndice debe desencriptar los segmentos en el lugar, luego cambiar su protección a lo que sea apropiado para su tipo, y saltar al punto de entrada original.

Esto evita tener que implementar todas las funciones de un cargador de PE completo, ya que las tablas de importación no están cifradas, y por lo tanto el cargador de Windows normal se encargará de usted.

Cabe señalar, por supuesto, que este tipo de enfoque ingenuo no sobrevivirá a un ataque concertado en ningún momento: un atacante puede simplemente volcar la memoria del proceso para obtener el código descifrado original. Para evitar esto, es probable que necesite encriptar y descifrar el código de manera continua, momento en el que el manejo de PE es lo que menos le preocupa.

Answer 2

usted debería ser capaz de c-estilo de emitir su dirección a un puntero de función, y lo llaman:

typedef void (*MyPtr)(); 

MyPtr p = (MyPtr)1234; 
p(); 

Answer 3

Desafortunadamente, saltando al punto de entrada de su código es el menor de sus preocupaciones. Un archivo Portable Executable (PE) (que es el formato de archivo utilizado para los archivos EXE y DLL en Windows) no es algo que simplemente pueda cargar en un solo bloque de memoria y luego ejecutar. Su cargador PE personalizada tendría que hacerse cargo de los siguientes puestos de trabajo:

• Cargar las distintas secciones de código y datos en el archivo PE en bloques de memoria separados.

• Resuelva las dependencias de la tabla de importación para cargar las DLL de las que depende su EXE.

• Realizar reubicaciones.

Obtener todos los detalles correctos probablemente sea un trabajo bastante complicado. Sugeriría que busque una herramienta que pueda comprar que tenga este tipo de cifrado EXE.

Editar: Una búsqueda rápida en Google sugiere es posible que desee echar un vistazo a la siguiente:

• EXECryptor (patentada)

• RLPack (patentada)

• UPX (GPL) Este solo comprime, por lo que yo entiendo, pero puede usar The Source para agregar encriptación (si la GPL es compatible con sus necesidades).

Seguramente haya más herramientas como estas, esto es solo el resultado de una búsqueda rápida.

Otra edición:

revista de MSDN un artículo de Matt Pietrek llama "Una mirada en profundidad en el formato portable ejecutable Win32 Archivo" (Part 1, Part 2). Contiene mucha información sobre el formato de archivo PE que debería ser útil para usted. Un dato interesante: las versiones recientes del enlazador de Microsoft parecen omitir las reubicaciones de bases para EXEs de forma predeterminada. Es probable que desee indicar al vinculador que vuelva a colocarlos porque es probable que su contenedor EXE ya esté cargado en la dirección de carga preferida de su carga útil. Alternativamente, podría tratar de darle a su contenedor EXE una dirección de carga preferida exótica donde, con suerte, no interfiera con el EXE de carga útil.

También encontré un page that discusses a rudimentary PE file compressor. Sin embargo, no parece ser completamente general y probablemente requiera un trabajo adicional antes de poder usarlo.

Answer 4

Además de todo el alboroto y la molestia de cargar correctamente una imagen PE, también tendrá que preocuparse por Data Execution Protection que está destinado a evitar hacer esto mismo.

No olvide que esto también puede parecer un comportamiento de malware para algunas herramientas antivirus y antimalware.

Answer 5

Su solución mecanografiada en mi punto de vista es poco problemática, ¿qué pasa con sus funciones salta a otras funciones? Se han corregido otras direcciones y veo muchos problemas con esta solución, como dónde están las bibliotecas vinculadas estáticas del código cifrado.

Creo que se puede hacer algo como:

1. Transporte un archivo DLL encriptados, con su montaje secreto
2. Cifrar ella en un directorio tmp
3. hacer LoadLibrary en esta DLL
4. desbloqueo archivo y eliminar del sistema?

Answer 6

No se pueden ejecutar datos como el código en la mayoría del sistema operativo, gracias a gdt, la tabla de descriptores globales que divide los datos del código. Si intenta ejecutar datos, el procesador emite una excepción.

Answer 7

El cargador descifra los datos

Esto lo dice todo.

Para que el cargador pueda descifrar los datos, también debe contener (o al menos conocer) la clave de descifrado.

Por lo tanto, si distribuye físicamente este cargador a sus usuarios, tendrán pleno acceso tanto al código del cargador como a la clave utilizada.

Quizás esto es lo que quiere decir "falso sentido de seguridad"?

Como su cliente parece ser obstinado o simplemente ignorante, ¿por qué no crear una pequeña demostración de descifrado que muestra claramente los defectos en su forma de pensar?

Answer 8

Consulte también la respuesta aceptada al What is your favourite anti-debugging trick para una buena solución para dificultar el descifrado del ejecutable.