Visual StudioでのC ++文字列の難読化

彼らのプログラムのバイナリ保護はしばしば困難で恩恵のないものです。誰かが製品を必要とする場合、どんなに一生懸命努力しても、それはまだ壊れているからです。 この場合、最高の保護は常に適切に記述されるか、少なくとも手動で構成する必要があり、あらゆる種類のパッカー/エンコーダー/仮想マシンももちろん役立ちますが、保護が自動的に機能するほど、それが壊れるほど簡単になりますはよく知られたパッカーであり、クラッカーはすでに他の製品で10回それを壊しており、彼らはそれが何であるかを知っています。 さらに、多かれ少なかれ成功した保護パッケージにはすべて多大な費用がかかります。



繰り返しますが、セキュリティシステムが高度になり、必要な手動設定が増えるほど、コード自体の外観、あらゆる種類のチェック、エンコード、チェックサムに影響を与えます。これらの方法は、適切な方法でさまざまな場所に詰め込む必要がありますクラッカーを見つけにくくするコード。 コードは読めないように見え、変更するのが難しくなり、すべてに時間がかかります。



したがって、問題は、保護のレベル/費やした時間/コードの可読性/コストなどの間で妥協点を見つけることです。



プログラム内の文字列を難読化するための独自のソリューションを共有したいのですが、それは最小限の保護しか提供しませんが、1）無料2）簡単3）コードの外観をほとんど損なわない4）新しい見ませんでした。



すぐに言いたいのは、このソリューションは自信を持ってハッカーの経験を少しだけ遅くするだけですが、それは非常に簡単で、初期セットアップから約15分しかかかりません。 noo-hackersに対する最小限の保護を提供し、コーディングでより安全なタイプの思考を促し、このメソッドを自分で開発して他のタイプの防御を実装する機会を与えることを目的としています。

難読化文字列-なぜ必要なのか

通常、C / C ++でプログラムをコンパイルする場合、プログラムで使用されるすべての行は、.exeファイル内のプレーンテキストです。 これは次の理由で悪いです。

1. プログラムがパスワード/キーを使用している場合、それらはファイルを開いて表示するだけの人にすぐに見えるようになります。
2. プロトコル/機能/メッセージおよび他のシステム行の名前を見ると、攻撃者はプログラムが使用している機能/ライブラリ、および一般的にどのアルゴリズムに基づいているかについての情報を取得でき、それによりプログラムの分析とハッキングの作業が大幅に簡素化されます。 私が最近出会った非常に良い例の1つは、このページの下部にあるpokerbotoscar.wordpress.com/2009/03/20/how-casinos-detect-pokerbotsです。著者は、ポーカークライアントが単に1行ずつ作成するという事実について多くの結論を下したことを示しています。彼のバイナリにあります。
   
   
3. プログラムのイメージに特定の行が見つかった場合、攻撃者はデバッガーに直接ブレークポイントを設定し、たとえば、「ライセンスを購入」という行が表示されているプログラム内の場所を即座に見つけることができます。 その後、ライセンスチェック機能（たとえば）が簡単に検出されますが、そこには技術的な問題があります。 バイナリに行がない場合、関数の検索は少し遅くなります。
   
   Sysinternals Process Explorerプログラムを使用すると、すべての文字列を簡単に表示できます。SysinternalsProcess Explorerプログラムでは、読み込まれたプログラムで3文字より長い文字列がすべてすぐに表示されます。
   
   

必要条件

私の要件は非常に単純でした-難読化は自動的に行われ、コードを最小限に変更する必要があり、行はバイナリでもメモリ内のプログラムのイメージでも読めないはずです。



多くのソリューションは、単にバイナリの行をエンコードし、起動時にプログラムはすべての行を通過してデコードします。 これは、同じProcess Explorerでも、イメージからファイルと同じくらい簡単に行が読み取られるため、逆効果です。 （これはクラッカーツールでさえありませんが、単にtaskmgrの代わりになります。）



phpで文字列を直接エンコードするスクリプトを作成したため、php自体とPATHのphp.exeへのパスの両方が必要です。



それでは、ビジネスに取り掛かりましょう。

Visual Studio 2008を使用しましたが、他のバージョンのVisual Studioでも同じように機能します。 VSの奇妙な点を考えると、他のコンパイラーはさらに簡単になります。



まず、難読化ヘッダーobfuscator.h

難読化が使用される各ファイルに接続する必要があります。

#ifndef _OBFUSCATOR_H #define _OBFUSCATOR_H #ifdef X #pragma message("MACRO X IS ALREADY DEFINED, EXPECT SERIOUS ERRORS") #endif #ifdef DO_OBFUSCATE_STRINGS __forceinline char *obDecodeStr(char *inst); #define X(s)obDecodeStr(OBPREPROCESSENCODEDSTR(s)) #else #define X(s)s #endif #endif
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ご覧のとおり、マクロX（）を使用します。この場合、難読化された各文字列はラップされます。 名前は1文字のみで構成され（保護されたコードへの影響を最小限に抑えるため）、プロジェクト内（または外部ライブラリ）で同じマクロが宣言される可能性があるため、ビルドログウィンドウに表示されるメッセージを追加しました。



DO_OBFUSCATE_STRINGSが定義されている場合、文字列はX（s）obDecodeStr（OBPREPROCESSENCODEDSTR（s））に置き換えられます

「OBPREPROCESSENCODEDSTR」は、文字列をエンコードするスクリプトが検索するトークンです。 名前は、この文字の組み合わせがプロジェクトの他の場所で見つかることを除外するために特別に長く作られています。 したがって、スクリプト自体：

 <?php date_default_timezone_set('UTC'); function parseArgs($argv){ array_shift($argv); $out = array(); foreach ($argv as $arg){ // --foo --bar=baz if (substr($arg,0,2) == '--'){ $eqPos = strpos($arg,'='); // --foo if ($eqPos === false){ $key = substr($arg,2); $value = isset($out[$key]) ? $out[$key] : true; $out[$key] = $value; } // --bar=baz else { $key = substr($arg,2,$eqPos-2); $value = substr($arg,$eqPos+1); $out[$key] = $value; } } // -k=value -abc else if (substr($arg,0,1) == '-'){ // -k=value if (substr($arg,2,1) == '='){ $key = substr($arg,1,1); $value = substr($arg,3); $out[$key] = $value; } // -abc else { $chars = str_split(substr($arg,1)); foreach ($chars as $char){ $key = $char; $value = isset($out[$key]) ? $out[$key] : true; $out[$key] = $value; } } } // plain-arg else { $value = $arg; $out[] = $value; } } return $out; } $args = parseArgs($argv); echo "Obfuscating strings in ".$args[1]."\r\n"; $f = fopen($args[0], 'rb'); $o = fopen($args[1], 'wb'); define('ENCODESTRTOKEN', 'OBPREPROCESSENCODEDSTR('); while ($line= fgets ($f)) { while (($esp = strpos($line, ENCODESTRTOKEN))!==false) { $sesp = $esp; $esp+=strlen(ENCODESTRTOKEN); while ($line[$esp]!='"') $esp++; $esp++; $sstart = $esp; $s = ''; while (true) { if ($line[$esp]=='"') break; if ($esp>=strlen($line)) break; if ($line[$esp]=='\\') { if ($line[$esp+1]=='\\') $s.='\\'; if ($line[$esp+1]=='r') $s.="\r"; if ($line[$esp+1]=='n') $s.="\n"; if ($line[$esp+1]=='t') $s.="\t"; $esp+=2; continue; } $s.=$line[$esp]; $esp++; } $enc = ""; $ch = 0; $chphase = 0; while ($ch<strlen($s)) { if ($chphase==0) $cod = ord($s[$ch]) & 15; else $cod = (ord($s[$ch]) & (255-15))/16; $cod = dechex(rand(1,15)*16 + $cod); $enc.="\\x$cod"; if ($chphase==0) $chphase = 1; else { $ch++; $chphase = 0;}; } echo "Obfuscating string \"$s\" to \"$enc\"\r\n"; $line = substr_replace($line, $enc, $sstart, $esp-$sstart); $line = substr_replace($line, "", $sesp, strlen(ENCODESTRTOKEN)-1); }; fputs($o, $line); }; ?>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ご覧のとおり、スクリプトはコマンドラインからファイル名を読み取り、トークン「OBPREPROCESSENCODEDSTR」を探します。 このようなトークンが見つかると、文字列は「エンコード」されます。



エンコードアルゴリズムは確かに最も安定しているわけではありませんが、これにより保護が強化されると思われる場合は、自分で簡単に変更できます。 ここでは、単に実例として示します。



このファイルをプロジェクトのルートディレクトリに置き、obfuscate-i.phpという名前を付けます



そして最後に、デコード機能を含むファイル

 #include "obfuscator.h" typedef char odecoded[4095]; odecoded obbuf[4]; unsigned short lastbuf = 0; __forceinline char *obDecodeStr(char *inst) { lastbuf++; if (lastbuf>3) lastbuf = 0; unsigned int i = 0; unsigned int db = 0; bool phase = true; unsigned short schar = 0; while (inst[i]!=(char)0) { if (phase) { schar = 0; schar+=(((unsigned short)inst[i]) & 0x0F); } else { schar+=(((unsigned short)inst[i]) & 0x0F) * 16; obbuf[lastbuf][db] = (char)schar; db++; } phase = !phase; i++; } obbuf[lastbuf][db] = (char)0; return obbuf[lastbuf]; }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

この関数で興味深いのは、文字列が置かれている場所で文字列をデコードするのではなく、アドレスが既に返されている特別なバッファにデコードすることです。 これにより、プログラムのイメージでは、すべての行がデコードされた状態になることはありません。 最後にデコードされたもののうち、4つのみがデコードされます。



__forceinlineは、obDecodeStr関数自体にブレークポイントを設定し、すべての行を魔法のように取得することにより、攻撃者を防ぐ試みとして使用されました。

バッファが1ではなく4なのはなぜですか？

MessageBoxの呼び出しを想像してください（0、X（「ある値」）、X（「ある別の値」）、MB_OK）

難読化のためではない場合、行のアドレスだけがMessageBox関数に入り、すべてが正常になります。 ただし、難読化がアクティブになると、この呼び出しはMessageBox（0、obDecodeStr（「その他の値」）、obDecodeStr（「その他の値」）、MB_OK）に変わり、obDecodeStrの両方の呼び出しが*メッセージボックスが直接実行される前に実行されます。 また、バッファが1つのみ使用されている場合、obDecodeStrの2回目のコールでは、元の文字列が単純に書き換えられ、同じ引数が関数の両方の引数になります：MessageBox（0、“ some another value”、“ some another value”、MB_OK）。



したがって、1ではなく4つのバッファー。一度に4つ以上の難読化されたchar *パラメーターを取る関数を使用する場合は、バッファーの数を増やす必要があります。

プロジェクト構成

では、これをすべて自動的に構成する方法は？

（私はすべてのオプションを英語で書いています。ロシアのスタジオを持っている場合でも、あなたはそれを理解するだろうと思います）

1. まず、プロジェクトのリリース構成を2回コピーします。 最初のコピーはRelease-obfuscated-prestepと呼ばれ、2番目はRelease-obfuscatedです。 （VisualStudioは前処理されたファイルを保存し、それらを外部ツールに渡し、1ステップでコンパイルする方法を知らないため、前ステップが必要です）。
2. Release-obfuscated-prestepの構成で、obfuscator.ppを除くすべての.cppファイルを選択し、[プロパティ]に移動します。 そこで、C ++ /プリプロセッサ/準備されたファイルの生成の下で、行番号なし/ EP / Pを選択します。
   
   これにより、コンパイルする代わりに、すべての.cppファイルがプリプロセッサで処理された形式で拡張子.iで保存されます。 つまり、X（）マクロを含む、それらのすべてのマクロは既にデプロイされています。
3. この構成を構築します（Release-obfuscated-prestep）。 リンカは、十分なオブジェクトファイルがなく、ビルドが完了しないことを誓いますが、問題ではありません。生成された.iファイルのみが必要です。
4. これらの新しい.iファイルをすべて見つけて、プロジェクトに追加します。 スタジオがこの拡張機能の新しいルールを作成するかどうかを尋ねる場合、NOと安全に答えることができます。
5. これらすべてのファイルを選択して、[プロパティ]に移動します。 リリース難読化を除くすべての構成で、これらのファイルに[ビルドから除外]→[はい]を設定します。
6. リリース難読化された構成で、これらのファイルにビルドから除外→NOを設定し、最後に、同じファイルに対して、カスタムビルドステップの設定で、コマンドラインに次を入力します。
   
   php obfuscate-i.php $(InputPath) src-obfuscated\$(InputName).ob.cpp
   
   
   
   
   
   そして、出力フィールドに入力します
   
   src-obfuscated\$(InputName).ob.cpp
   
   
   
   
   
   処理済みファイルを保存するsrc-obfuscatedディレクトリを作成する必要がある場合があります。
7. これらすべての.iファイルを選択し、右クリックして[コンパイル]を選択します。 Visual Studioがスクリプトを呼び出すと、ログウィンドウにプロセスが表示され、* .ob.cppファイルも表示されるはずです。
8. これらの新しいファイルをプロジェクトに追加し、リリース難読化された構成ではビルドから除外をNOに設定し、他のすべての構成ではYESに設定します。
9. obfuscator.cppを除くすべての元の.cppファイルを選択し、リリース難読化された構成セットでビルドから除外をYESにします
10. 最後に、Release-obfuscated-prestepおよびRelease-obfuscatedの構成で、プロジェクト自体のプロパティに移動し、C / C ++ / Preprocessor / Preperocessor DefinitionsでシンボルDO_OBFUSCATE_STRINGSを追加して、難読化を実際に有効にします。

これで、各行をX（）でラップし、難読化ヘッダーを接続するだけで、行が保護されます。



通常の開発では、変更されないままの古いリリース/デバッグ構成を使用します。バイナリをリリースするときは、まずリリース難読化前ステップ構成をビルドし（最後までビルドされません）、最後にリリース難読化を行い、「保護された」バイナリ。