原创指令歧义及程序飞和逆向工程的关系

 2007-11-16 21:01  4013 4 5 分类: MCU/ 嵌入式

指令歧义及程序飞和逆向工程的关系

1.标准程序样例
MOV   DPTR,#0013H;外部中断1入口地址
JNZ   NEXT1;ACC<>0,取INT1地址
MOV   DPTR,#0003H;外部中断0入口地址
SJMP NEXT
NEXT1:
RRA;
NEXT:
MOVC A,@A+DPTR
MOV   P3,A;
LCALL XXXXH;

2.对应标准程序样例可等效非典指令序列
MOV   DPTR,#0013H
JNZ   NEXT-1;借用下条指令的操作数2的03H为一个隐含的RRA指令!
MOV   DPTR,#0003H;低8位的03H实际为RRA指令(操作码03H)!!!
NEXT:
MOVC A,@A+DPTR
MOV   P3,A
LCALL XXXXH;

可以看出，2个功能相同的指令后者很简化，当然那个03H实际存在的概率几乎是没有的

估计会有人说，为什么标准程序样例不像如下所示???
MOV   DPTR,#0003H;外部中断0入口地址
JZ    NEXT;
MOV   DPTR,#0013H;外部中断1入口地址
RRA;
NEXT:
MOVC A,@A+DPTR
MOV   P3,A;
LCALL XXXXH;
虽然它不如2精简，但却通用许多，而且条理清晰，至少RRA让人看的很明白。

问题很好也不错，所有逆向工程正是利用了人们善良带来的漏洞予以攻击。成功率几乎为100%.
因为逆向工程利用二次扫描技术实现代码和数据的剥离，对于剩下的数据区再多次攻击(虚拟机)
直到逆向到满意的代码和数据的剥离结果。

对2的攻击会带来以下2种程序源码。

3.当ACC为零时可等效为下列指令序列
MOV   A,#00H
MOV   DPTR,#0013H
SJMP NEXT1;
NEXT1:
MOV   DPTR,#0003H
NEXT:
MOVC A,@A+DPTR
MOV   P3,A
LCALL 0000H;

4.当ACC非零时可等效为下列指令序列
MOV   A,#0FFH
MOV   DPTR,#0013H
SJMP NEXT1;
DW    9000H;其中90H为MOV DPTR,#00XXH的操作码
NEXT1:
RRA;利用数据藏代码
NEXT:
MOVC A,@A+DPTR
MOV   P3,A
LCALL 0000H;

而实际上我们的1个程序却同时需要这2个源码，因为ACC总存在0和非0两种状态。

所以暴力反汇编经常会出现以下的结果

5.
MOV   DPTR,#0013H
JNZ   NEXT;
DW    9000H;这个对于搞过反汇编或熟悉51指令集的人才知道是残缺的MOV DPTR,#00XXH
NEXT:
RRA
MOVC A,@A+DPTR
MOV   P3,A
LCALL XXXXH;

当如像64K大的程序时，要有多少个象5一样不解的结果呀。

不管是用什么法则，如果采用暴力反汇编生成的代码肯定不会全对。甚至导致编译失败！！！

而遵守扫描法则的反汇编都将2判定为非法代码序列。直接做为数据处理。这类反汇编出来的

汇编代码将会100%的通过汇编器的重新编译！！！

菜农的超级反汇编软件就是遵从了这一原则可以逆向任何“守法代码”。

故认为使用以下雷同的代码来保护后跟的代码和数据

如6：
JNZ $+3;肯定运行NOP;LCALL DO_CRC;
DW 1200H;低8位为NOP指令
LCALL DO_CRC;CRC校验,最终正确结果CRC=0(注意这个0将会被多次使用)

例如都用这样带有指令歧义的分支代码来保护，那么遵循任何法则的逆向工程每个分支都应该
提供2个程序清单。

假使有3个带有指令歧义分支的的程序，应该最多提供4份程序清单。
在这个分支时，用第1份看，这那个分支用第N份看，....晕否？？？