Ловите мою кулстори, может кому-то поможет проявить обучаемость.

>>139707332

Вот моя стори.
Я ездил в магазин, Ашан.
Увидел там тянку, высокая, длинноволосая. Вообще не мой типаж, но понравилась люто.
Первый раз по-моему я напротив неё в автобусе сидел.
Так вот, видел её пару раз, но это уже было после того отказа, и шансов ПОЗНАКОМИТЬСЯ (ох блять..) я в упор не видел.
Но, потом случилась хуйня.
Через пару месяцев я устроился на работу.
И, блять, на второй день я вижу эту тян.
Я так охуел. Для меня каждый рабочий день был в радость. Я бросил фап на три месяца (начал нофап ещё до работы, но она мотивировала не срываться).
Стоит сразу отметить что мне показалось что тянка может быть старше меня. Хотя показалось что мб наоборот, студентка 22 лвл. То что не местная я сразу понял, почувствовал.
Так вот, я долго пытался узнать её имя и т.п.
Найти вконтакт.
Стоит отметить что на работе былт и другие тянки с которыми мог бы мутить, но та казалась лучшей.
Но потом пришёл пиздец.
Да, я ещё когда с ней говорил один раз подумал "мудак, ты что делаешь, ей может быть много лет".
И оказалось правдой, она старше на несколько лет и есть ребёнок.
Ну, короче, припекло сильно. Даже батя охуел, спрашивал что случилось.
Потом я постоянно ловил панические атаки когда её видел.
И думал, мб как-то можно быть вместе.
Меня ещё одна тянка тут мразью назвала, лол.
Но, потом случилось то, что я не вписался в пидорашью систему и начался конфликт с начальством, который закончился ПМЖ.
Ну, короче, с тех пор её не видел и отпустило.
Может и правда ёбнулся, я даже не уверен что та баба из ТЦ и та с работы это один человек.
Такая хуйня.

Да, она замужем, но мне казалось не это главным препятствием (сейчас не 19 век и не католическая страна), а то что ребёнок.
Не хотел чужую семью ломать, да и мамка моя меня бы убила.
Но сейчас отпустило и норм, лол, даже есть другая ЕОТ

Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.

>>140213376
Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.

>>140213404
Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.

>>140213446
Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.

>>140213484
Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.

>>140213512
Сегодня мы попробуем построить общую концепцию полиморфных алгоритмов и полиморфизма в частности. Этот метод часто использовался в вирусах для того, чтобы производителям антивирусов пришлось изобретать новые методы их обнаружения. Это, конечно, шутка. На самом деле вирусу "удобно" прятаться в файлах-жертвах, если антивирус не знает как его искать. Всвязи с таким раскладом сил в недалеком прошлом (напомню, что расцвет эпохи полиморфных вирусов пришелся на ОС MS-DOS) сама идея полиморфизма была дискредитирована. Но иногда требуется, чтобы разрабатываемая программа обладала этим полезным свойством. Например, подобные преобразования кода могут свести на нет необходимость создания программ-крякеров (при условии, если они не научатся анализировать полиморфный код). Или определив для каждого бета-тестера уникальную копию программы (после полиморфизации), можно узнать о путях распространения нелицензионных копий программы. Итак, приступим.

Мы будем рассматривать алгоритмический полиморфизм (т.е. связанный непосредственно с исполняемым кодом), поэтому определим значение словосочетания "полиморфные алгоритмы", которое и будем использовать в этой серии статей.

Полиморфные алгоритмы - алгоритмы, различающиеся на уровне команд, но при этом обеспечивающие решение одной и той же задачи. Для наглядности примеров очень удобно использовать фрагменты кода на ассемблере.

В этой серии статей мы не будем говорить о таких способах достижения полиморфности, как шифрование или функциональная мутация. Подробнее об этих методах можно узнать из документов, приеденных в разделе "Ссылки".

Предлагаю рассмотреть несколько простейших инвариантных примеров:

... ... ...
mov AX,3; xor AX,AX; xor AX,AX;
add AX,5; mov AX,8; add AX,8;
... ... ...

Все 3 этих примера (на самом деле, даже для такого простого участка кода, число инвариантных примеров гораздо больше) выполняют одно и то же действие - mov AX,8. Но 2й и 3й примеры имеют длину скомпилированного кода (машинного кода) 5 байт, а 1й - 6 байт.

1й пример:
B8 03 00 05 05 00

2й пример:
33 C0 B8 08 00

3й пример:
33 C0 05 08 00

Т.о. сразу же можно безболезненно использовать вместо 2го фрагмента кода 3й и наоборот. 1й фрагмент можно менять на 2й и 3й, не забыв дописать команду NOP (90h). Обратная замена без коррекции всех меняющихся адресов перехода невоможна. Так же стоит помнить, что B8 может встречаться в тексте программы как mov и как байт со значением B8 (то же самое и для всех остальных операций). Т.е. мы должны научиться различать операции и операнды.

Самая простая реализация задачи распознавания заключается в однопроходном просмотре преобразуемого кода. Для еще большего упрощения поставленной задачи мы будем оперировать над com-файлом. В таком случае первые n байт всегда обозначает операцию (n зависит от типа операции, например 0F 00 означает LTR, а 24 - AND AL,imm8), а далее, по заранее составленной таблице, узнаем количество байт-операндов. Естественно, такой метод применим только для несжатых незашифрованных исполняемых файлов.

Следующая проблема заключается в поиске подфрагментов кода, для которых возможно построение эквивалентных подфрагментов. Очевидно, что они должны располагаться между точкой входа в текущий фрагмент кода и jmp (с различными модификациями), call, ret. Под точкой входа в текущий фрагмент кода следует понимать адрес, с которого начинает выполняться программа (для первого фрагмента), или адрес, по которому происходит переход после выполнения какой-либо операции jmp, call, ret. При выполнении предыдущей задачи нужно было построить таблицу фрагментов, в которой бы находились стартовые и стоповые адреса всех фрагментов, отсортированные по возрастанию. Все необходимые приготовления для, собственно, решения задачи сделаны.

В итоге мы имеем таблицу:

_______________________
| addr 1 (program in) |
| addr 2 (in or out) |
| ... |
| ... |
| addr n (program out) |
|_______________________|

Между указателями на "in"-"in" и "in"-"out" и находится код, который нужно преобразовать. Понятно, что между "out"-"in" может находиться какая-то константа, а вариант "out"-"out" можно считать запрещенным, т.к. ни один из компиляторов языков высокого уровня не должен допустить подобного, при условии грамотно написанных разработчиком среды процедур оптимизации кода.

Теоретически вариантов замены для конкретного фрагмента кода может быть бесконечно много. Это можно доказать так: mov ax,3 можно заменить на mov ax,3; sub ax; add ax; и повторять последние 2 операции произвольное количество раз. Но можно указать разумные пределы разрастания или сжатия кода. Поэтому будем считать, что каждый фрагмент кода можно удлиннить не более, чем на 2 байта. Все эти допущения нам пригодятся, когда мы будем писать полиморфный преобразователь исполняемых файлов.

Все необходимые приготовления сделаны. Дело осталось за реальным кодом, который будем писать и оптимизировать в следующих статьях.