【转帖】反-反汇编patch学习（一）

默小白 发表于 2019-4-10 16:55

转自：https://xz.aliyun.com/t/4658

最近在学习**反-反汇编**技巧，以此记录，patch的实例程序在附件中

仅仅是新手的学习记录，大佬轻喷

# 编写一个测试程序

这个程序没有什么意义，在IDA中把`puts`函数patch成`nop`用于添加我们自己的指令

> 肯定有更好的方法，但是这里只是为了练习

visual studio 2019 preview x64 release编译

```
#include<stdio.h>
#include<stdlib.h>
#include<string.h>

int main(int argc, char** argv) {
char a;
system("pause");
a = getchar();

puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");

putchar(a);
system("pause");
return 0;
}
```

# patch过程

## 添加nop

IDA打开，根据字符串找到我们自己的逻辑

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142048-74cbb150-550f-1.png)

把一部分`puts("nop me")` patch成`nop`，类似这样，在这些nop中开始表演

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142107-807458ea-550f-1.png)

## 添加特别的汇编指令

这里现在一堆`nop`中添加如下的两条指令，来分析一下

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142122-89337b32-550f-1.png)

`call $+5`也就是跳转到`pop rax`，看起来和直接跳到下一条指令没什么区别

但实际上，`call`会把下一条要执行的指令地址压栈，这里也就是把`0x140001035`压栈

再`pop rax`，这时`rax`就是`0x140001035`了

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142137-922be120-550f-1.png)

调整`rax`的位置，加上8以后`jmp rax`，准备跳到原本的指令中

这里`rax==0x140001035+8==0x14000103C`

patch到这里，保存一下，即附件中的`patched1`

在IDA中重新打开，调试发现，`jmp rax`即将跳转到jmp指令的之后的某条指令上

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142150-99bca51e-550f-1.png)

## 添加垃圾指令

为了让反汇编引擎"出错"，我们可以在中间即将跳过的nop中，添加特殊的垃圾指令

比如刚刚动态调试发现会跳转到`...03D`的位置上，那我们就让`03D`的指令是jmp到接下来的原程序流程

这里也就是跳转到`puts("nop me")`

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142223-ad46c024-550f-1.png)

保存一下，作为`patched2`

可以看到还是可以正常运行的

虽然IDA的反汇编引擎识别的不错，但是F5的结果就有点差了

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142236-b4f0dc7e-550f-1.png)

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142246-bb587ad6-550f-1.png)

我们改成`0xEB`，保存为`patched3`，重新打开，可以看到IDA的反汇编已经把很多指令识别为数据了

!(https://xzfile.aliyuncs.com/media/upload/picture/20190402142306-c6e61c46-550f-1.png)

F5后也看不到原本的几个`puts("nop me")`了

# 让IDA正确分析

本程序中，可以通过动态调试发现`jmp rax`的目的地，然后从`call $+5`开始，把这些指令都nop掉，直接jmp 到该去的地址，帮助IDA正确分析

帮助IDA了解哪些是数据、哪些是代码指令，可以用`U D C`这三个快捷键，应该是undefine,data,code的意思

wqy88 发表于 2019-4-10 17:45

很好，感谢楼主的分享。

rickw 发表于 2019-4-10 23:20

这个帖子主题思想是什么呀？

hhxtf 发表于 2019-4-11 00:15

学习学习~~

chengfa168 发表于 2019-4-26 23:28

寻高手写一个协议，写的联系我QQ2969569898

yagamma 发表于 2019-5-6 03:21

感谢楼主分享

页: [1]

吾爱破解 - 52pojie.cn's Archiver

【转帖】反-反汇编patch学习（一）