Schutz vor Decompeilierung

[MaBuSE]

Zitat von gmarts:

Teuerste und effektivste Lösung: Lager wichtigen Coden "einfach" auf eine Hardware aus, die mit dem eigentlichen Programm kommuniziert.
Das dauert bis findige Chinesen den Hardware-Chip kopiert haben.

Ich habe mir damals so ein Programm gekauft, und nun habe ich keinen ISA Slot mehr frei :-/

Das Programm hiess Chessboard und war mehr oder weniger komplett auf der Karte. Es existierte nur ein MS DOS Fontend um mit dem Anwender zu komunizieren.

Auf der Steckkarte ist unter anderem ein 6510 mit eigenem Ram drauf.
Es ist also ein eigener Rechner, der über den Bus mit dem PC kommuniziert

Damals bei den 8006er war das eine gute Möglichkeit die Rechenleistung für ein vernünftiges Schachprogramm zur Verfügung zu stellen.

[Phoenix]

Zitat von Luckie:

Wenn ich nicht verhindern kann, dass der Nagel mit dem Hammer in die Wand geschlagen wird, wie wäre es denn damit zu versuchen zu verhindern, dass derjenige den Hammer aus dem Werkzeugkasten nehmen kann?

Dann nehme ich ggf. den gesamten Werkzeugkasten und versuche den Nagel damit einzuschlagen. Oder mit der Schuhsohle. Ist zwar jeweils mühsamer, kann aber letzten Endes mit einigem Aufwand dennoch erfolgreich sein.

Aber was ist, wenn es erst gar keinen Nagel gibt? Die Codeauslagerung in einen Bereich auf den nur der Entwickler Zugriff hat (sei es Hardware oder eben ein Webservice) entzieht dem Angreifer den kompletten Code und bietet somit keinerlei Angriffsfläche (=> keinen Nagel) mehr.

[sECuRE]

Hi,

@Luckie: Nun, wenn du meinst, dass du den Zugriff auf Debugger etc sperren willst: Man kann das Programm auch Disassemblen und dann mithilfe von diesem Code knacken oder das Programm Schritt für Schritt durchlaufen lassen und die Debugger-Abfrage umgehen...

Bin auf jeden Fall gespannt, was ihr euch da habt einfallen lassen

cu

[brechi]

denke kaum, dass die da irgendwelche antidebugger tips geben, höchtens nen listing aller crypter etc.

dafür ist luckies programm selbst zu schlecht geschützt

[DGL-luke]

Zitat von Luckie:

Mal ein kleiner Denkanstoss: Wenn ich nicht verhindern kann, dass der Nagel mit dem Hammer in die Wand geschlagen wird, wie wäre es denn damit zu versuchen zu verhindern, dass derjenige den Hammer aus dem Werkzeugkasten nehemen kann?

Olli, Motzi und ich habe da was in der Mache, der erste Teil könnte bis Ende der Woche online sein.

also wenn du damit meinst, dass du einen virus mitlieferst, der alle bekannten debugger/dekompilierer usw. zerstört/behindert/sonstwas dann würde ich so etwas extrem unverschämt finden! denn mein computer ist mein computer, und in die progs, die ich da installiert hab, lass ich mir von niemandem(ausser leider WinXP) hineinreden!

Also wenn der Hammer der Dekompilierer ist, dann gibt es ja gar keine Möglichkeit, die nicht als Virus zu klassifizieren wäre, oder?

[alcaeus]

Zitat von DGL-luke:

also wenn du damit meinst, dass du einen virus mitlieferst, der alle bekannten debugger/dekompilierer usw. zerstört/behindert/sonstwas dann würde ich so etwas extrem unverschämt finden! denn mein computer ist mein computer, und in die progs, die ich da installiert hab, lass ich mir von niemandem(ausser leider WinXP) hineinreden!

Ruhig Blut und abwarten
Ich bin mir sicher Luckie, Olli und Motzi werden das Ding hier voller Stolz vorstellen
Luckie selbst würde so ein Programm nichtmal schreiben

Greetz
alcaeus

[Luckie]

Mancheiner wird es sicher gemerkt haben, dass Olli, Motzi und ich gestern Abend ab 9 Uhr bis spät in die Nacht im Chat waren. Olli hat uns da so ein paar Sauereien erklärt/demonstriert. Ich und Motzi sind gerade dabei das in eine veröffentlichungsreife Form zu bringen. Im Laufe des Tages könnt ihr mal eine neue Demo-Version des Usermanagers runterladen (Ich geb Bescheid), dann können wir mal gucken, ob es was taugt, was uns Olli da erzählt habt und ob ich es verstanden habe.

Zitat von sECuRE:

@Luckie: Nun, wenn du meinst, dass du den Zugriff auf Debugger etc sperren willst: Man kann das Programm auch Disassemblen und dann mithilfe von diesem Code knacken oder das Programm Schritt für Schritt durchlaufen lassen und die Debugger-Abfrage umgehen...

Du meist statische Debugger. Aber die versagen, wenn die Exe durch einen Scramblker/Crypter gejagt wurde und unter NT ff. hat uns Olli gerade was demonstriert.

[brechi]

laufen da mehrere protectoren drüber oder ist die debugger detection / checksumme in delphi programmiert?

[Luckie]

Zitat von brechi:

laufen da mehrere protectoren drüber oder ist die debugger detection / checksumme in delphi programmiert?

Wo beim jetzigen? Ist nur ein Scrambler drübergelaufen. Beim neuen wird es etwas mehr sein.

[Olli]

@Luckie: *gähn* Habe mich mal ein wenig ausgeschlafen. Nach 40h "online" war das auch nötig.

Zitat von Phoenix:

Dann nehme ich ggf. den gesamten Werkzeugkasten und versuche den Nagel damit einzuschlagen. Oder mit der Schuhsohle. Ist zwar jeweils mühsamer, kann aber letzten Endes mit einigem Aufwand dennoch erfolgreich sein.

ROFLMAO!!!!

Zitat von Phoenix:

Aber was ist, wenn es erst gar keinen Nagel gibt? Die Codeauslagerung in einen Bereich auf den nur der Entwickler Zugriff hat (sei es Hardware oder eben ein Webservice) entzieht dem Angreifer den kompletten Code und bietet somit keinerlei Angriffsfläche (=> keinen Nagel) mehr.

Beides ist mit heutigen Möglichkeiten nicht machbar. Auch Chips und Dongles kann man auslesen. Das Problem ist immer die Peripherie. Und genau dort ist es wo ich ansetze, wenn ich einen Dongle auslesen will *g*
Ein Prozessor aus Blackbox ist denkbar, aber nicht finanzierbar. Eine VM ist ebenfalls machbar - liefe eben auf einen softwarebasierten Prozessor hinaus - dort muß der Reverser also nicht nur den Maschinencode verstehen, sondern einen neuen (undok.) Maschinencode erforschen und lernen.

Ich finde aber, daß Luckie ein wenig übertreibt mit seiner Euphorie. Habe ihm auch gesagt, daß statische Analyse das Problem umgeht.

Zitat von sECuRE:

@Luckie: Nun, wenn du meinst, dass du den Zugriff auf Debugger etc sperren willst: Man kann das Programm auch Disassemblen und dann mithilfe von diesem Code knacken oder das Programm Schritt für Schritt durchlaufen lassen und die Debugger-Abfrage umgehen...

Das wiederum ist nicht immer so einfach, wie du denkt ... was zu beweisen sein wird
Debugger sperren mach man nicht ... sowas ist nicht nett gegenüber dem Anwender. Und wenn ich dann an diese tollen "Detections" denke, wo REGMON, FILEMON usw. ausgeschalten werden. Pah ... Fenstertitel austauschen und der "Schutz" war nie da.

Zitat von brechi:

denke kaum, dass die da irgendwelche antidebugger tips geben, höchtens nen listing aller crypter etc.

dafür ist luckies programm selbst zu schlecht geschützt

Findest du das bei der letzten Version immernoch? Es ist machbar, keine Frage. Aber man muß schon mehr Aufwand betreiben. Da wir weiter oben bemerkt haben, daß es eine Kosten/Nutzen-Rechnung ist, würde sich vielleicht jemand den Spaß machen es zu knacken. Ernsthaft jedoch nicht.

Zitat von brechi:

laufen da mehrere protectoren drüber oder ist die debugger detection / checksumme in delphi programmiert?

Schau dir's doch dann an. Übrigens, du kennst den Trick ja schon.