Side Blue - Anti-Reverse Technique - iT 邦幫忙::一起幫忙解決難題，拯救 IT 人的一天

2025 iThome 鐵人賽

DAY 4

自我挑戰組

30天的資訊安全讀書筆記系列第 4 篇

Side Blue - Anti-Reverse Technique

17th鐵人賽

notawiseman3955

團隊夢幻公牛

2025-09-18 13:20:55

88 瀏覽

分享至

Check Debugger - 尋找與除錯工具相關的程序或檔案，或者透過硬體層面（例如偵測硬體中斷點）來檢查是否有除錯器存在。
- Windows API - IsDebuggerPresent - 偵測是否正在被除錯
- Suspend Thread - 偵測到特定行為就將該程式pause掉使其無法正常運作
VM Detect - 會查看現在運行的環境是否為VM來決定動作，可能會僅執行部分功能、自毀（刪除自身或覆寫其部分程式碼)、破壞系統（如刪除或加密檔案）或不執行
- Process - 查看目前環境是否有執行特定檔案
  - VMware：vmtools
  - VirtualBox：vboxservice
- Software - 查看目前環境是否有安裝特定軟體(如Debugger)
- MAC - 藉由查看是否為固定開頭的MAC位置來偵測是否為VM(VM廠商的OUI)
- Resource - 查看電腦所配置的硬體配置如RAM，來判斷是否為VM
- Other device - 查看環境上是否有新增其他裝置，如無則有可能為VM
- Domain Membership - 查看是否有AD來判斷是否為VM
Obfuscation - 使用不同方式或技術使程式變得難以分析
1. 使用其他編碼
2. 使用加密
3. 使用如(更改程式碼語法與結構、將函數重新命名、將程式碼分割到多個檔案或區段中)等技巧
Hash Changing - 透過修改一小部分程式碼使Hash值變更，以防止被用特徵來被辨別
Runtime Loading DLLs - 執行過程中再import DLL以防止在靜態分析階段被辨識。
Packing - 加殼使其內容無法用debugger分析
- 常見:UPX
- 查看甚麼殼:Detect it Easy, Exeinfo PE
- 解殼:
  - 自動:unpacme
  - 手動:x86dbg