Офисное западло - Xakep Online

взлом
Файловый репрозиторий на OpenRCE
Сообщение о неудачной инициализации динамической библиотеки,
ведущей к завершению процесса
>> Targets
MS VS, WinDbg, OllyDbg, ImmDbg, Syser, SoftICE, IDA-Pro и многие
другие.
>> Exploit
Демонстрационный пример (вместе с полными исходными текстами,
правда, без комментариев) выложен на OpenRCE в мой репрозиторий:
https:// openrce.org/repositories/users/nezumi/quux-crackme.
zip. Пример занимает в упакованном виде меньше 2х килобайт, совместим
с Вистой/Server 2008 и не конфликтует с Syser’ом (в смысле
не «выбивает» из него BSOD, но ускользает из-под вышеперечисленных
отладчиков).
>> Solution
Отсутствует. Ну, не то, чтобы совсем, — но общих решений нет, и помимо
DllMain существует много всего, исполняющегося до «всплытия»
отладчика. Взять хотя бы те же TLS-callback’и. А потому загрузка
программы в отладчик — равносильна ее запуску, и потенциально
опасные файлы можно использовать только на специальной (виртуальной)
машине, на которой нет ничего, что было бы жалко потерять.
Кстати, в Olly Advanced — популярном plug-in’е для Ольги — есть
опция «Flexible Breakpoints», убирающая программную
точку останова, что предотвращает обнаружение отладчика, но не в
силах противостоять подмене стартового адреса первичного потока.
Аналогичным образом дела обстоят и с другим популярным plugin’ом
— PhantOm, имеющим опцию «Remove EP Break», назначение
которой говорит само за себя.
Разумеется, это никакой не crackme (в обычном смысле), а настоящий
exploit типа proof-of-concept, предназначенный для тестирования
отладчиков на «вшивость» и написанный так, чтобы предельно
облегчить его понимание, благодаря чему сломать его — плевое
дело. Но если наворотить здесь хитрый код, то шансы на понимание
резко снизятся, а шансы на «взлом» отладчика, соответственно,
резко возрастут. Борьба с отладчиками на данном этапе не входила в
мою задачу — этому посвящена отдельная колонка в журнале, а здесь
мы говорим исключительно о дырах (прорыв сквозь отладчик — в
первую очередь дефект проектирования отладчика, то есть дыра, и
только потом — антиотладочный прием).z
xàêåð 06 /114/ 08
045