MASM的反反汇编技术

转载自：http://www.aogosoft.com/downpage.asp?mode=viewtext&id=54

相关例子：下载

由于汇编语言是与机器语言机器码一一对应的，所以程序的代码非常简洁，编译、链接程序不会在其中加入任何其它代码，所以，用Win32DASM等把汇编工具反汇编汇编语言写的程序，其列出的汇编代码几乎与编写的顺序、过程、代码一模一样，这也是汇编语言简洁的证据。
  但是这种过于简洁的代码却给了破解者提供了方便，破解者只需要有一定的Windows SDK编程与汇编的经验，破解就非常简单，根本不需要用SoftICE这些动态工具就可以破解。于是，相应的防止跟踪的技术就出来了，比如花指令、不按规则调用API等等，今天就花指令和大家研究研究。
  花指令，其实就是在程序中加入一些字节来干扰静态工具反汇编，毕竟汇编工具没有人的思维，所以这招非常好骗。
  打开EditPlus,新建一个ASM - Sample文件，输入以下代码：
.386
.Model Flat, StdCall
  Option Casemap :None

  Include windows.inc
  Include user32.inc
  Include kernel32.inc

  IncludeLib user32.lib
  IncludeLib kernel32.lib
.data
  Welcome db "欢迎来到汇编的世界",0
.CODE
  START:
  invoke MessageBox,0,offset Welcome,0,0
  invoke ExitProcess,0
  END START
  保存，Ctrl + 1编译。
  用Win32DASM打开编译后的文件，可以在其菜单命令[函数]->[输入]中看到我们使用了的MessageBox与ExitProcess名字，在菜单命令[参考]->[字符串]中看到我们定义的字符串Welcome的值,假如您的程序这段代码要做的是在用户输入错误的注册码后报错，那么，破解者只需要找到对话框显示的字符串使用的地址，然后向上查找跳到此地址的跳转指令，更改指令就能轻易破解，我们要做的，就是把字符串隐藏起来，不让破解者轻易找到它的地址，如下：
  ;先关闭Win32DASM（以下同）.
  ... ...
  lea eax,Welcome
  invoke MessageBox,0,eax,0,0
  ... ...
  也就是说，我们并没有使用花指令，而是在使用字符串时先把字符串的地址传给eax,然后再把eax做为参数传给MessageBox,这样做，Win23DASM这些反汇编工具就无法识别了，好，用Win32DASM重新打开编译的文件，在[参考]菜单中，[字符串]这一项灰色显示，提示这个程序没有字符串，骗过它了！^_^
  还有就是使用花指令，花指令不但可以使反汇编工具无法识别出字符串，更会让它们把汇编出错误的代码，花指令一般都是使用一些无用的字节来进行干扰，但是干扰反汇编的字节仍是可以使用的，像这样子：
  ... ...
  jz @F
  jnz @F
   www db "欢迎来到汇编世界",0
  @@:
  lea eax,www
  lea ebx,Welcome
  invoke MessageBox,0,eax,ebx,0
  invoke ExitProcess,0
  ... ...
  编译后再用Win32DASM打开EXE，发现不但[字符串]这一项灰色显示,反汇编出来的代码变得面目全非，现在的程序只有很少的代码，如果代码一多，破解者不晕才怪，不过这样只会把一些初级破解者难倒，有经验的破解者根据jz与jnz的跳转是否指向不存在的地址而知道使用了花指令，还可以根据MessageBox的使用地址来进行分析，我们现在要做的就是使用手工调用API加花指令来骗反汇编工具，如下：
  ... ...
  lea eax,Welcome
  push 0
  push 0
  push eax
  push 0
  jz @F
  jnz @F
   www db "欢迎来到汇编世界",0
  @@:
  call [MessageBox]
  invoke ExitProcess,0
  ... ...
  (上述代码WinDASM32黄金版能正确识别)
  也就是说，在压入参数后，不要马上使用call来调用API，而是在调用前使用花指令，结果会怎样？编译后进行反汇编，看看吧，不但[字符串]这一项灰色显示，[函数]->[输入]一项也是灰色，哈，骗过了！再看看把汇编出来的代码，天啦，乱七八糟的，如果这些代码是在一个几百K的程序中，我看那个破解者如何应付，哈，他不晕才怪！
  再来点狠的：
;=================
; 完整API花指令示例:
;=================
.386
.Model Flat, StdCall
Option Casemap :None   ; 不区分大小写（对API与API常数无效）
;_____________________________________________________________
Include windows.inc
Include user32.inc
Include kernel32.inc

IncludeLib user32.lib
IncludeLib kernel32.lib
.CODE
START:
  push 0
  push 0
  push offset Welcome
  push 0
  jz @F
  jnz @F
  Welcome db "Welcome",0   
@@:
  mov eax,[MessageBox+4]
  sub eax,4
  jnz @F
    Welcome1 db "Welcome",0   
@@:
  call eax
  invoke ExitProcess,0
  END START
  再看看反汇编的代码，更加!@$$%#!@#$。
  顺便说一句,上面的"完整API花指令示例"对付SoftICE一样有效,虽然SoftICE能用MessageBoxA中断上面的程序,但是,它反汇编出来的代码一样是惨不忍睹,

  不过，程序中也不要过份使用花指令啦，一般只有在关键的代码才使用这些，如果您整个程序都使用花指令，不但会让破解者恼火，也会让你自己恼火的--这么多$%@$!@##@#的代码，您怎么维护啊。哈...