EEPW论坛

1.标准程序样例
    MOV   DPTR,#0013H;外部中断1入口地址
    JNZ   NEXT1;ACC<>0,取INT1地址
    MOV   DPTR,#0003H;外部中断0入口地址
    SJMP  NEXT
NEXT1:
    RRA;
NEXT:
    MOVC  A,@A+DPTR
    MOV   P3,A;
    LCALL XXXXH;




2.对应标准程序样例可等效非典指令序列
    MOV   DPTR,#0013H
    JNZ   NEXT-1;借用下条指令的操作数2的03H为一个隐含的RRA指令!
    MOV   DPTR,#0003H;低8位的03H实际为RRA指令(操作码03H)!!!
NEXT:
    MOVC  A,@A+DPTR
    MOV   P3,A
    LCALL XXXXH;


可以看出，2个功能相同的指令后者很简化，当然那个03H实际存在的概率几乎是没有的


估计会有人说，为什么标准程序样例不像如下所示???
    MOV   DPTR,#0003H;外部中断0入口地址
    JZ    NEXT;
    MOV   DPTR,#0013H;外部中断1入口地址
    RRA;
NEXT:
    MOVC  A,@A+DPTR
    MOV   P3,A;
    LCALL XXXXH;
虽然它不如2精简，但却通用许多，而且条理清晰，至少RRA让人看的很明白。


问题很好也不错，所有逆向工程正是利用了人们善良带来的漏洞予以攻击。成功率几乎为100%.
因为逆向工程利用二次扫描技术实现代码和数据的剥离，对于剩下的数据区再多次攻击(虚拟机)
直到逆向到满意的代码和数据的剥离结果。


对2的攻击会带来以下2种程序源码。


3.当ACC为零时可等效为下列指令序列
    MOV   A,#00H
    MOV   DPTR,#0013H
    SJMP  NEXT1;
NEXT1:
    MOV   DPTR,#0003H
NEXT:
    MOVC  A,@A+DPTR
    MOV   P3,A
    LCALL 0000H;


4.当ACC非零时可等效为下列指令序列
    MOV   A,#0FFH
    MOV   DPTR,#0013H
    SJMP  NEXT1;
    DW    9000H;其中90H为MOV DPTR,#00XXH的操作码
NEXT1:
    RRA;利用数据藏代码
NEXT:
    MOVC  A,@A+DPTR
    MOV   P3,A
    LCALL 0000H;


而实际上我们的1个程序却同时需要这2个源码，因为ACC总存在0和非0两种状态。


所以暴力反汇编经常会出现以下的结果


5.
    MOV   DPTR,#0013H
    JNZ   NEXT;
    DW    9000H;这个对于搞过反汇编或熟悉51指令集的人才知道是残缺的MOV DPTR,#00XXH
NEXT:
    RRA
    MOVC  A,@A+DPTR
    MOV   P3,A
    LCALL XXXXH;


当如像64K大的程序时，要有多少个象5一样不解的结果呀。


不管是用什么法则，如果采用暴力反汇编生成的代码肯定不会全对。甚至导致编译失败！！！


而遵守扫描法则的反汇编都将2判定为非法代码序列。直接做为数据处理。这类反汇编出来的


汇编代码将会100%的通过汇编器的重新编译！！！


菜农的超级反汇编软件就是遵从了这一原则可以逆向任何“守法代码”。


故认为使用以下雷同的代码来保护后跟的代码和数据


如6：
    JNZ   $+3;肯定运行NOP;LCALL DO_CRC;
    DW    1200H;低8位为NOP指令
    LCALL DO_CRC;CRC校验,最终正确结果CRC=0(注意这个0将会被多次使用)


例如都用这样带有指令歧义的分支代码来保护，那么遵循任何法则的逆向工程每个分支都应该
提供2个程序清单。


假使有3个带有指令歧义分支的的程序，应该最多提供4份程序清单。
在这个分支时，用第1份看，这那个分支用第N份看，....晕否？？？


菜农在这里不谈如何破译，而是“代码隐身”，就和以前的“中断隐身”类同。


从以上分析，特别是2给我们的启示，实际上程序飞也是个“代码隐身”的问题。


“代码隐身”可以根据分支的条件将代码重新组合，而程序飞也是PC值突变脱离了我们正常代码
序列的范围，如进入数据区或代码区指令的操作数1或操作数2。


这就是为什么程序飞工作运行的莫名其妙的原因之所在。因为它是不可控的毫无任何规律可寻的。


所有我们适当地采用例2的保护方法，将会使逆向工作更加困难，让他们和“程序飞”打交道吧...