名称: 反逆向技术描述: 理解在软件分析过程中遇到的反逆向、混淆和保护技术。适用于分析受保护的二进制文件、为授权分析绕过反调试，或理解软件保护机制。

仅限授权使用: 此技能包含双重用途的安全技术。在进行任何绕过或分析之前：

验证授权: 确认您有软件所有者的明确书面许可，或在合法的安全上下文（CTF、授权渗透测试、恶意软件分析、安全研究）中操作

记录范围: 确保您的活动在授权定义范围内

法律合规: 理解未经授权绕过软件保护可能违反法律（CFAA、DMCA反规避等）

合法使用案例: 恶意软件分析、授权渗透测试、CTF竞赛、学术安全研究、分析您拥有/有权的软件

反逆向技术

理解在授权软件分析、安全研究和恶意软件分析中遇到的保护机制。这些知识帮助分析人员绕过保护以完成合法的分析任务。

反调试技术

Windows反调试

基于API的检测

// IsDebuggerPresent
if (IsDebuggerPresent()) {
    exit(1);
}

// CheckRemoteDebuggerPresent
BOOL debugged = FALSE;
CheckRemoteDebuggerPresent(GetCurrentProcess(), &debugged);
if (debugged) exit(1);

// NtQueryInformationProcess
typedef NTSTATUS (NTAPI *pNtQueryInformationProcess)(
    HANDLE, PROCESSINFOCLASS, PVOID, ULONG, PULONG);

DWORD debugPort = 0;
NtQueryInformationProcess(
    GetCurrentProcess(),
    ProcessDebugPort,        // 7
    &debugPort,
    sizeof(debugPort),
    NULL
);
if (debugPort != 0) exit(1);

// 调试标志
DWORD debugFlags = 0;
NtQueryInformationProcess(
    GetCurrentProcess(),
    ProcessDebugFlags,       // 0x1F
    &debugFlags,
    sizeof(debugFlags),
    NULL
);
if (debugFlags == 0) exit(1);  // 0表示正在被调试

绕过方法:

# x64dbg: ScyllaHide插件
# 修补常见反调试检查

# 调试器中手动修补:
# - 设置IsDebuggerPresent返回0
# - 修补PEB.BeingDebugged为0
# - 钩子NtQueryInformationProcess

# IDAPython: 修补检查
ida_bytes.patch_byte(check_addr, 0x90)  # NOP

基于PEB的检测

// 直接PEB访问
#ifdef _WIN64
    PPEB peb = (PPEB)__readgsqword(0x60);
#else
    PPEB peb = (PPEB)__readfsdword(0x30);
#endif

// BeingDebugged标志
if (peb->BeingDebugged) exit(1);

// NtGlobalFlag
// 调试状态: 0x70 (FLG_HEAP_ENABLE_TAIL_CHECK |
//                 FLG_HEAP_ENABLE_FREE_CHECK |
//                 FLG_HEAP_VALIDATE_PARAMETERS)
if (peb->NtGlobalFlag & 0x70) exit(1);

// 堆标志
PDWORD heapFlags = (PDWORD)((PBYTE)peb->ProcessHeap + 0x70);
if (*heapFlags & 0x50000062) exit(1);

绕过方法:

; 在调试器中，直接修改PEB
; x64dbg: 转储在gs:[60] (x64) 或 fs:[30] (x86)
; 设置BeingDebugged (偏移2) 为0
; 清除NtGlobalFlag (x64偏移0xBC)

基于时间的检测

// RDTSC计时
uint64_t start = __rdtsc();
// ... 一些代码 ...
uint64_t end = __rdtsc();
if ((end - start) > THRESHOLD) exit(1);

// QueryPerformanceCounter
LARGE_INTEGER start, end, freq;
QueryPerformanceFrequency(&freq);
QueryPerformanceCounter(&start);
// ... 代码 ...
QueryPerformanceCounter(&end);
double elapsed = (double)(end.QuadPart - start.QuadPart) / freq.QuadPart;
if (elapsed > 0.1) exit(1);  // 太慢 = 调试器

// GetTickCount
DWORD start = GetTickCount();
// ... 代码 ...
if (GetTickCount() - start > 1000) exit(1);

绕过方法:

- 使用硬件断点代替软件断点
- 修补计时检查
- 使用受控时间的虚拟机
- 钩子计时API以返回一致值

基于异常的检测

// 基于SEH的检测
__try {
    __asm { int 3 }  // 软件断点
}
__except(EXCEPTION_EXECUTE_HANDLER) {
    // 正常执行: 异常被捕获
    return;
}
// 调试器吞噬了异常
exit(1);

// 基于VEH的检测
LONG CALLBACK VectoredHandler(PEXCEPTION_POINTERS ep) {
    if (ep->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT) {
        ep->ContextRecord->Rip++;  // 跳过INT3
        return EXCEPTION_CONTINUE_EXECUTION;
    }
    return EXCEPTION_CONTINUE_SEARCH;
}

Linux反调试

// ptrace自我跟踪
if (ptrace(PTRACE_TRACEME, 0, NULL, NULL) == -1) {
    // 已经被跟踪
    exit(1);
}

// /proc/self/status
FILE *f = fopen("/proc/self/status", "r");
char line[256];
while (fgets(line, sizeof(line), f)) {
    if (strncmp(line, "TracerPid:", 10) == 0) {
        int tracer_pid = atoi(line + 10);
        if (tracer_pid != 0) exit(1);
    }
}

// 父进程检查
if (getppid() != 1 && strcmp(get_process_name(getppid()), "bash") != 0) {
    // 异常父进程 (可能是调试器)
}

绕过方法:

# LD_PRELOAD钩子ptrace
# 编译: gcc -shared -fPIC -o hook.so hook.c
long ptrace(int request, ...) {
    return 0;  // 总是成功
}

# 使用
LD_PRELOAD=./hook.so ./target

反虚拟机检测

硬件指纹识别

// 基于CPUID的检测
int cpuid_info[4];
__cpuid(cpuid_info, 1);
// 检查虚拟机位 (ECX的第31位)
if (cpuid_info[2] & (1 << 31)) {
    // 在虚拟机中运行
}

// CPUID品牌字符串
__cpuid(cpuid_info, 0x40000000);
char vendor[13] = {0};
memcpy(vendor, &cpuid_info[1], 12);
// "VMwareVMware", "Microsoft Hv", "KVMKVMKVM", "VBoxVBoxVBox"

// MAC地址前缀
// VMware: 00:0C:29, 00:50:56
// VirtualBox: 08:00:27
// Hyper-V: 00:15:5D

注册表/文件检测

// Windows注册表键
// HKLM\SOFTWARE\VMware, Inc.\VMware Tools
// HKLM\SOFTWARE\Oracle\VirtualBox Guest Additions
// HKLM\HARDWARE\ACPI\DSDT\VBOX__

// 文件
// C:\Windows\System32\drivers\vmmouse.sys
// C:\Windows\System32\drivers\vmhgfs.sys
// C:\Windows\System32\drivers\VBoxMouse.sys

// 进程
// vmtoolsd.exe, vmwaretray.exe
// VBoxService.exe, VBoxTray.exe

基于时间的虚拟机检测

// 虚拟机退出导致时间异常
uint64_t start = __rdtsc();
__cpuid(cpuid_info, 0);  // 导致虚拟机退出
uint64_t end = __rdtsc();
if ((end - start) > 500) {
    // 可能在虚拟机中 (CPUID耗时更长)
}

绕过方法:

- 使用裸机分析环境
- 加固虚拟机 (移除客户工具, 更改MAC)
- 修补检测代码
- 使用专用分析虚拟机 (FLARE-VM)

代码混淆

控制流混淆

控制流平坦化

// 原始
if (cond) {
    func_a();
} else {
    func_b();
}
func_c();

// 平坦化
int state = 0;
while (1) {
    switch (state) {
        case 0:
            state = cond ? 1 : 2;
            break;
        case 1:
            func_a();
            state = 3;
            break;
        case 2:
            func_b();
            state = 3;
            break;
        case 3:
            func_c();
            return;
    }
}

分析方法:

识别状态变量
映射状态转换
重构原始流
工具: D-810 (IDA), SATURN

不透明谓词

// 总是真, 但分析复杂
int x = rand();
if ((x * x) >= 0) {  // 总是真
    real_code();
} else {
    junk_code();  // 死代码
}

// 总是假
if ((x * (x + 1)) % 2 == 1) {  // 连续数乘积 = 偶数
    junk_code();
}

分析方法:

识别常量表达式
符号执行证明谓词
模式匹配已知不透明谓词

数据混淆

字符串加密

// XOR加密
char decrypt_string(char *enc, int len, char key) {
    char *dec = malloc(len + 1);
    for (int i = 0; i < len; i++) {
        dec[i] = enc[i] ^ key;
    }
    dec[len] = 0;
    return dec;
}

// 栈字符串
char url[20];
url[0] = 'h'; url[1] = 't'; url[2] = 't'; url[3] = 'p';
url[4] = ':'; url[5] = '/'; url[6] = '/';
// ...

分析方法:

# FLOSS自动字符串反混淆
floss malware.exe

# IDAPython字符串解密
def decrypt_xor(ea, length, key):
    result = ""
    for i in range(length):
        byte = ida_bytes.get_byte(ea + i)
        result += chr(byte ^ key)
    return result

API混淆

// 动态API解析
typedef HANDLE (WINAPI *pCreateFileW)(LPCWSTR, DWORD, DWORD,
    LPSECURITY_ATTRIBUTES, DWORD, DWORD, HANDLE);

HMODULE kernel32 = LoadLibraryA("kernel32.dll");
pCreateFileW myCreateFile = (pCreateFileW)GetProcAddress(
    kernel32, "CreateFileW");

// API哈希
DWORD hash_api(char *name) {
    DWORD hash = 0;
    while (*name) {
        hash = ((hash >> 13) | (hash << 19)) + *name++;
    }
    return hash;
}
// 通过哈希比较解析

分析方法:

识别哈希算法
构建已知API哈希数据库
使用HashDB插件for IDA
动态分析运行时解析

指令级混淆

死代码插入

; 原始
mov eax, 1

; 带死代码
push ebx           ; 死
mov eax, 1
pop ebx            ; 死
xor ecx, ecx       ; 死
add ecx, ecx       ; 死

指令替换

; 原始: xor eax, eax (设为零)
; 替换:
sub eax, eax
mov eax, 0
and eax, 0
lea eax, [0]

; 原始: mov eax, 1
; 替换:
xor eax, eax
inc eax

push 1
pop eax

打包和加密

常见打包器

UPX          - 开源, 易于解包
Themida      - 商业, 基于虚拟机保护
VMProtect    - 商业, 代码虚拟化
ASPack       - 压缩打包器
PECompact    - 压缩打包器
Enigma       - 商业保护器

解包方法

1. 识别打包器 (DIE, Exeinfo PE, PEiD)

2. 静态解包 (如果已知打包器):
   - UPX: upx -d packed.exe
   - 使用现有解包器

3. 动态解包:
   a. 找到原始入口点 (OEP)
   b. 在OEP设置断点
   c. 到达OEP时转储内存
   d. 修复导入表 (Scylla, ImpREC)

4. OEP查找技术:
   - 堆栈硬件断点 (ESP技巧)
   - 在常见API调用中断 (GetCommandLineA)
   - 跟踪并查找典型入口模式

手动解包示例

1. 在x64dbg中加载打包二进制
2. 注意入口点 (打包器存根)
3. 使用ESP技巧:
   - 运行到入口
   - 在[ESP]设置硬件断点
   - 运行直到断点命中 (在PUSHAD/POPAD后)
4. 查找跳转到OEP
5. 在OEP, 使用Scylla:
   - 转储进程
   - 查找导入 (IAT自动搜索)
   - 修复转储

基于虚拟机的保护

代码虚拟化

原始x86代码被转换为自定义字节码
在运行时由嵌入式虚拟机解释。

原始:     虚拟机保护:
mov eax, 1    push vm_context
add eax, 2    call vm_entry
              ; 虚拟机解释字节码
              ; 等价于原始

分析方法

1. 识别虚拟机组件:
   - 虚拟机入口 (调度器)
   - 处理器表
   - 字节码位置
   - 虚拟寄存器/堆栈

2. 跟踪执行:
   - 记录处理器调用
   - 映射字节码到操作
   - 理解指令集

3. 提升/反虚拟化:
   - 将虚拟机指令映射回原生
   - 工具: VMAttack, SATURN, NoVmp

4. 符号执行:
   - 语义分析虚拟机
   - angr, Triton

绕过策略总结

一般原则

理解保护: 识别使用何种技术
找到检查: 定位二进制中保护代码
修补或钩子: 修改检查以始终通过
使用适当工具: ScyllaHide, x64dbg插件
记录发现: 记录绕过的保护

工具推荐

反调试绕过:    ScyllaHide, TitanHide
解包:           x64dbg + Scylla, OllyDumpEx
反混淆:         D-810, SATURN, miasm
虚拟机分析:     VMAttack, NoVmp, 手动跟踪
字符串解密:     FLOSS, 自定义脚本
符号执行:        angr, Triton

伦理考虑

此知识应仅用于:

授权安全研究
恶意软件分析 (防御性)
CTF竞赛
理解保护机制用于合法目的
教育目的

绝不用于绕过保护以用于:

软件盗版
未经授权访问
恶意目的

名称: 反逆向技术 描述: 理解在软件分析过程中遇到的反逆向、混淆和保护技术。适用于分析受保护的二进制文件、为授权分析绕过反调试，或理解软件保护机制。

反逆向技术

反调试技术

Windows反调试

基于API的检测

基于PEB的检测

基于时间的检测

基于异常的检测

Linux反调试

反虚拟机检测

硬件指纹识别

注册表/文件检测

基于时间的虚拟机检测

代码混淆

控制流混淆

控制流平坦化

不透明谓词

数据混淆

字符串加密

API混淆

指令级混淆

死代码插入

指令替换

打包和加密

常见打包器

解包方法

手动解包示例

基于虚拟机的保护

代码虚拟化

分析方法

绕过策略总结

一般原则

工具推荐

伦理考虑

名称: 反逆向技术描述: 理解在软件分析过程中遇到的反逆向、混淆和保护技术。适用于分析受保护的二进制文件、为授权分析绕过反调试，或理解软件保护机制。