Гайд Анти-отладочные трюки. PDF

[RichieKuklinski]

Главная цель этой работы состоит в том, чтобы показать методы защиты от исследования,
используемые упаковщиками/протекторами, а также обсудить методы и доступные инструменты,
которые могут использоваться, чтобы обойти или снять это защиты.

Спойлер: Содержание статьи

Скачать(PDF) -

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[xqzme69]

а где крякми?

 

[superiorboooty]

круто но можно было бы и просто пдф закинуть без скачиваний

 

[Hack3r_jopi]

Главная цель этой работы состоит в том, чтобы показать методы защиты от исследования,
используемые упаковщиками/протекторами, а также обсудить методы и доступные инструменты,
которые могут использоваться, чтобы обойти или снять это защиты.

Спойлер: Содержание статьи

Посмотреть вложение 335394
Посмотреть вложение 335395

Скачать(PDF) -

Пожалуйста, авторизуйтесь для просмотра ссылки.

а кой смысл эту хуйню репостить если это не твоя работа, в инете и так думаю мы можем все порыскать это, чето если честно негатив только вызвала тема

 

[xqzme69]

ну работа какая-то мутная, это солянка без нормальных пометок. где там Ferrie, где Falliere, где прямой перевод, где пересказ, а где переводчик уже сам что-то докинул, непонятно. для такой темы это плохой прикол, потому что тут один неверный API или один байт в asm, и пример уже не объясняет трюк, а просто учит мусору.
самый жирный пример на 16-17 странице. там речь про SystemKernelDebuggerInformation, и рядом пример:

push 23h
push -1 ;GetCurrentProcess()
call NtQueryInformationProcess

только это не NtQueryInformationProcess. в оригинальном Anti-unpacker tricks это отдельный раздел про NtQuerySystemInformation, и класс SystemKernelDebuggerInformation = 0x23 передается именно туда. у NtQuerySystemInformation нет никакого ProcessHandle, поэтому push -1 тут просто лишний. похоже, кусок тупо перенесли в соседний раздел и даже не посмотрели на сигнатуру функции.
там же странно сломан смысл про ReactOS. в русском тексте выходит что-то вроде “SystemKernelDebuggerInformation поддерживается ReactOS, но может не поддерживаться современными Windows”. хотя в оригинале смысл другой, этот класс был еще со времен Windows NT, и речь вообще про класс NtQuerySystemInformation, а не про то, что ReactOS тут внезапно главный ориентир. нормальную техническую фразу после перевода превратили в “ну где-то там в ReactOS есть, а Windows хз”.
еще страница 29, раздел про INT 2D. там написано:

db 02Dh
mov eax, 1 ;anti-tracing

но db 02Dh это не INT 2D. инструкция INT imm8 кодируется как CD ib, то есть INT 2D это CD 2D. один байт 2D в x86 это начало SUB EAX, imm32, и он просто сожрет следующие 4 байта как immediate. то есть пример технически битый. нормально было бы написать:

int 2Dh

или:

db 0CDh, 02Dh

и это уже не “ну перевод такой”, а просто ошибка в коде.
плюс местами переводчик любит включать режим абсолютной истины. например фраза в духе “из юзер-модного режима нет никакой возможности скрыть присутствие отладчика”. звучит мощно, но рядом же иногда пишется про обход через перехват вызова или правку возвращаемого значения. в оригинале было не “impossible”, а “no easy way”, то есть “нет простого способа”. это вообще разные вещи.
слишком много мест, где надо открывать оригинал и проверять, что там реально было написано, особенно когда речь идет про Native API, Windows internals и конкретные байты инструкций.

 

[VOornd1723872a]

Отличный материал для новичков, но лучше использовать mediafire

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[artem_gremlin1337]

забавная статья