Anti-debug

[jean02]

Bonjour,
me revoilà avec une question un peu à l'inverse , j'ai un logiciel conçu sur windev21 qui doit passer le cap du 01/2018
oui c'est un bug , le bug d'un ministre qui à décréter que l'auteur (l'éditeur ,ou le programmeur) d'un logiciel de caisse ou de gestion doit certifier son logiciel comme satisfaisant au condition d'inaltérabilité ,de sécurisation, d'archivage etc.....
Le risque est relativement important donc .
j'aurais quelques besoin donc de protection (une protection interne fait par mes soins et non externe sans avoir la source) , il faut juste empêcher un minimum le reverse pour satisfaire la justice .
que pouvez-vous me conseiller de simple comme api ou contrôle divers pour empêcher le niveau 3-4/10 de désassembler la bête ?
merci de vos réponses.

[jean02]

j'ai trouver ceci qui est apparement intégrer , si vous avez un peu plus :
https://wind.developpez.com/tutoriels/w ... ugging/#L0

[dionosis]

Salut,

Ra j'arrive pas à le poster ce message, dernière tentative.

un ministre qui à décréter [...] pour satisfaire la justice

Si je comprends bien, à toi on te demande juste de mettre un contrôle ?
Personne ne te demande de le rendre solide (et personne de compétent ne te le demandera sur un soft codé en windev).

Le risque est relativement important donc

Tu parles du risques pour l'utilisateur final ?
Parce que si oui, à partir du momet où il a désassemblé ton soft pour le bidouiller, ta responsabilité n'est plus engagée.

empêcher le niveau 3-4/10 de désassembler la bête

Un niveau 3-4/10 ne se risquera probablement pas à désassembler du windev.

j'ai trouver ceci qui est apparement intégrer

Ca peut le faire oui, c'est toujours mieux que rien, d'autant plus que la vm windev 'obfusquera' tout ça.
Par contre ça risque de te gêner pour debugger via l'ide, et ça ne tiendra pas contre un anti-anti.
A la limite les reg checks exotiques ça aurait pu, mais ils ne sont même plus d'actualité.

[FAUX] --> C'est bien +0x02 (j'avais confondu BOOL et BOOLEAN).
Quant à :

Code: Tout sélectionner

AdrPEB est un entier sans signe sur 4 octets = :GET_Adresse_PEB ()
adrRet est un entier sans signe sur 1 octet = 0x0
Transfert (&adrRet,AdrPEB+0x2,1)
RENVOYER adrRet

Ca serait plutôt :

Code: Tout sélectionner

...
Transfert (&adrRet,AdrPEB+0x8,1)
...

[/FAUX]

Bref, te prends pas la tête si tu veux mon avis.

++

[jean02]

Salut,
Ra j'arrive pas à le poster ce message, dernière tentative.[/i][/size]

merci d'avoir pris le temps de me répondre , c'est sympa

A la limite les reg checks exotiques ça aurait pu, mais ils ne sont même plus d'actualité.

si tu as des reg checks sur les logiciel de debug , je suis preneur , le but étant de ralentir l'opération

Quant à :

Code: Tout sélectionner

AdrPEB est un entier sans signe sur 4 octets = :GET_Adresse_PEB ()
adrRet est un entier sans signe sur 1 octet = 0x0
Transfert (&adrRet,AdrPEB+0x2,1)
RENVOYER adrRet

Ca serait plutôt :

Code: Tout sélectionner

...
Transfert (&adrRet,AdrPEB+0x8,1)
...

le problème ,c 'est que pour tester ,il faut déjà avoir bidouiller l'exécutable qui est déjà protéger par l'anti-debug intégrer à windev ...lol
je vais m'arreter la dans l'anti debug .... windev à l'air galère d'origine à désassembler par rapport à d'autre .

[dionosis]

Salut,

si tu as des reg checks sur les logiciel de debug , je suis preneur , le but étant de ralentir l'opération

Il te suffit d'installer les softs que tu veux cibler et d'aller jeter un oeil dans la base de registre.
Ensuite tu reprends l'exemple et tu adaptes.

le problème ,c 'est que pour tester ,il faut déjà avoir bidouiller l'exécutable qui est déjà protéger par l'anti-debug intégrer à windev ...lol

Ouais lol :
http://www.forumcrack.com/viewtopic.php?f=6&t=13194&p=120572#p120572

je vais m'arreter la dans l'anti debug .... windev à l'air galère d'origine à désassembler par rapport à d'autre .

Ca suffira amplement je pense.

++

[jean02]

Ouais lol :
http://www.forumcrack.com/viewtopic.php?f=6&t=13194&p=120572#p120572

Salut
je me demande de nouveau comment tu a pu remonter jusqu'au call qui va bien
çà me stress à chaque fois de ne pas trouver une logique à suivre dans tout çà
j'ai vu des chargements de dll mais dur dur , je suppose que le call va dans un procédure de contrôle ? le faites de ne pas y aller règle le soucis ?

[jean02]

en traçant un executable en v21 et non 19 , on retrouve à peu près les mêmes fin avec l'échec du chargement de la vm mais impossible à remonter sur ton call ou une comparaison claire, j'aimerais bien connaitre ta façon de remonter le fleuve

[jean02]

j'ai bien trouver sur une version 18 ou était le 'by-pass" du contrôle grâce à dionosis ,il y a bien un call qui sert à ça à un endroit différent bien sûr mais sur la 21 , c'est apparement bien different ,si quelqu'un à le temps de jeter un oeil , je pense que c'est facile pour un pro , çà m'aiderais à tester mes propre anti-debug .
merci d'avance .

[dionosis]

Salut,

je me demande de nouveau comment tu a pu remonter jusqu'au call qui va bien

Désolé mais je n'en ai plus aucun souvenir.

mais sur la 21 , c'est apparement bien different

Hm, vu comment c'était fait (ça avait été pensé d'un point de vue codeur et non pas reverser) ça m'étonnerait que ça ait beaucoup évolué (surtout si tu dis que ça fonctionne aussi sur la v18).

A mon avis d'après les pauvres trois notes qu'il me reste tu as une bonne chance de t'en sortir.
Cherche avec un editeur hexa la séquence 00 65 72 50 00 et remplace là par 00 65 72 70 00 (il n'y en aura très probablement qu'une seule occurence).
Ensuite ça devrait runner dans un debugger.

Si ça fonctionne alors tu pourras tester tes anti-debug mais probablement pas les comprendre puisque ça signifiera que la technique n'a pas changé et que, malgré les infos que je donne sur le contournement dans l'autre post, tu n'as pas les bases qui t'auraient permis d'extrapoler un tout petit peu.
Si en revanche ça ne fonctionne pas alors il faudra que tu fasses voir un hello world.

Nb: J'ai édité un de mes posts précédent, en relisant je viens de voir que je t'avais dit une bêtise.

++

[jean02]

salut,
c'est bon j'ai trouver le call ,c'est cool ,je vais pouvoir tester mes anti-debug (alors que j'ai surement encore des bug lol ) , je vais regarder la concurrence pour voir si il en on rajouté et de quel manière .
A+ pour la suite de l'aventure ou pour une nouvelle

[dionosis]

Salut,

Hm, pas très sympa de ne pas partager la solution. Ca n'est pas l'esprit du forum.

Pourrais tu stp nous confirmer que le patch générique que je donne ci-dessus fonctionne avec la v21 ?

Edit:
En extrapolant le nom des dll puis grâce à g00gle j'ai trouvé un utilitaire en v21 et le patch fonctionne.

++

[jean02]

Désolé , j'ai oublie de donner la solution , le call à noper est en 3D6C , par contre , je viens d'essayer ta solution est elle fonctionne aussi , est celle-ci pas besoin de la chercher ....

[jean02]

sans oublier qu'avec phantOm sur olly , il y a rien besoin de faire , çà passe à l'as , le but étant je le rappelle de tester mes propres anti-debug et de les disséminer à plusieurs endroits.
merci de ton aide dionosis
a ce propos on peut mettre des breakpoints dans l'exécutable sans que çà pete ou on travaille dans la vm ?

[dionosis]

Salut,

le call à noper est en 3D6C

Dac, apparemment c'est un stub fixe.

Donc effectivement non pas nopper le call en 403d6a mais mettre son retour en 0x403D6C à zéro fonctionne.
Pour le faire prorement comme dans l'autre il faudrait nopper le call en 402f2b (offset 0x2f2b, 5x 0x90).

sans oublier qu'avec phantOm sur olly , il y a rien besoin de faire , çà passe à l'as , le but étant je le rappelle de tester mes propres anti-debug et de les disséminer à plusieurs endroits.

Et oui justement, mais pour tester les tiens il faut tourner sans phantom.
J'aime cette approche inverse du reverse (l'anti), donc c'est important aussi de laisser ça propre pour la postérité.

merci de ton aide dionosis

De rien.

a ce propos on peut mettre des breakpoints dans l'exécutable sans que çà pete ou on travaille dans la vm ?

Dans la section code tu peux y aller, pour le reste ça devient plus délicat : dans les handlers de la vm tu peux, mais je ne saurais pas te dire s'il sont en dur dans la section code, ou bien écrits à la volée dans de la mémoire allouée pour l'occasion. Au feeling je dirais qu'ils se trouvent simplement dans les dll loadées (principalement WDxxxVM.dll par exemple) parce que les exports sont on ne peut plus explicites...

Comme ton code est du pseudo code, il faudra soit que tu places des BPs sur celles-ci, soit tout simplement que tu fasses des tests en affichant le résultat dans ton programme (dans un champ texte ou bien suite à la pression d'un bouton par exemple).

++

[jean02]

merci dionosis pour tes explications
par ailleurs ,j'ai une petit soucis quand je veux tracer le parcours d'une de mes dll dans olly (ou passe des infos confidentielle) , je reste quasi dans la VM en permanence (je vois bien passer les info en ESI ) mais je ne rentre jamais dans ma dll et je ne la vois pas dans les 'view' (ni dans les thread) ; sais-tu comment faire pour debugger ou rentrer dans cette dll ?