String im Exe-Text verschlüsseln

[negaH]

"disassembler", darf man nicht mit einem Debugger verwechseln. Fast jeder Debugger enthält auch einen Disassembler aber nicht jeder Disassmbler muß ein Debugger sein.
Wird mit einem aktiven Debugger ein Programm getracet dann kann man die "Anti-Disassembler" Tricks erkennen.

Ein einfacher Disassembler-Trick ist zB. der Call-Stack-Trick. Dabei manipuliert man den aktiven Aufrufstack fun Proceduren so daß der Programmfluß an einer anderen Stelle weitergeht. Der passive Disassembler kann dies NICHT erkennen, er ist dummm.

Dies sähe z.B. so aus:

Delphi-Quellcode:

procedure Hiddenproc;
begin
end;
 
var
  MyProc: procedure = HiddenProc;

procedure CallHiddenProc;
begin
  MyProc;
// obiger Aufruf benutzt einen Indirekten Call, d.h. es wird an die Speicherstelle die in MyProc steht gesprungen.
end;

Der Disassembler sieht nun einen Code der aus der Speicherstelle an Addresse on @MyProc einen Pointer lädt und dahin im program springt. Diese Speicherstelle @MyProc kann aber dynamisch während der Programmlaufzeit modifiziert werden. Diese Modifizierung kann abhänig vom RegCode sein.

D.h. der Programmfluß wird auf direktem Weg dynamisiert. Nur mit einem aktiven Debugger kann man erhausbekommen wohin das Program tatsächlich springt.

Natürlich ist obiger "Trick" kein Trick im eigentlichen Sinne sondern ein Normalzustand in heutigen Programmen. Obiges Beispiel ist aber das Minimal-Beispiel wie Disassembler ausgetrickst werden können.

Hier mal ein anders:

Delphi-Quellcode:

procedure HiddenProc;
begin
  ShowMessage('Hidden');
end;

procedure MyCaller(Proc: Pointer);
asm
  XCHG   [ESP],EAX
end;

procedure CallHiddenProc;

  procedure DoCall;
  begin
    MyCaller(@HiddenProc);
    ShowMessage('Test');
  end;

begin
  DoCall;
  ShowMessage('Test1');
end;

Aber auch dieser Trick ist zu offensichtlich für gute Cracker, ein passiver Dissassembler kann aber NICHT mehr den Code in HiddenProc exakt identifizieren.

Gruß Hagen

[negaH]

JEDER Anti-Cracking/Debugging Trick ist auch ein Phsycholigischer Trick. D.h. man muss immer bei solchen Tricks die Phsycholigie des Hackers berücksichtigen. Alles andere ist stumpfsinniges anwenden von bekannten Tricks. Man muß also als Programmierer gleichermaßen Programmierer und auch Hacker sein. Ein Programmierer der nicht gleichzeitg auch Hacker ist wird niemals effiziente Anti-Hacker Tricks entwickeln können.

Ein Hacker ist:
- faul
- sehr hartnäckig
- ein mensch der den Überblick sehr leicht verlieren kann
- der meistens sehr gut linear in Assembler-Ebene denken kann, und somit die Auswürfe von Hochsprachen und deren OOP Konstrukte, DLL's, COM Bibliotheken hasst.
- der Multitasking OS'e + Threading + Protected Mode nicht sehr liebt.
- der selbst vor der knallharten Mathematik von echten Kryptosystemen kapitulieren muß

Gruß Hagen

[Mikko]

@c113plpbr

Mit 'nem Debugger. Ist fast genauso einfach gewesen wie das cracken, außer die Punkte am Schluß sind "nervig" gewesen (da der Debugger seine "leeren" Stellen auch als Punkte anzeigt).

@negaH
Ich meinte das Prog von eddy.

PS: Achja, im Passwort muß man natürlich "Leerzeichen" auch als Zeichen selbst eingeben und nicht die Zeichenkette!!!