القائمة الرئيسية

الصفحات

تعديل المشاركة

Techniques anti-debugging et protection logicielle

Tips Technologie
(0)
I°) La méthode ptrace

Explication de la méthode


  Elle est assez simple d'utilisation : sous les systèmes UNIX, un appel système nommé ptrace sert à débogguer les éxécutables (les tracer, les modifier, poser des points d'arrêt, etc..). Il va de soi que cet appel système est utilisé par tous les debuggers sous Unix. L'appel ptrace est déclaré dans la librairie système sys/ptrace.h. Ptrace a la particularité qu'il ne peut être utilisé qu'une seule fois sur un même éxécutable en simultané. En fait, ptrace retourne 0 si le lancement a réussi et -1 si il y a déjà un ptrace en cours sur l'éxécutable.
Il paraît donc naturel qu'il suffit d'appeller ptrace dans le programme : s'il réussit, tout est normal, s'il échoue, il y a un débuggage en cours sur l'éxécutable et cela ne présage rien de bon. Démontrons ceci avec le code suivant.

Résultat de recherche d'images pour "Techniques anti-debugging et protection logicielle"

Illustration

   Pour changer un peu du C, nous allons nous moderniser et passer au C++. Le programme suivant est un programme bateau (comme tous les programmes de cette section) qui permet une authentification préhistorique : 

    //test.cpp Test de protection par la méthode ptrace
    #include <sys/ptrace.h>


    #include <iostream>
    using std::cout;
    using std::cin;
    using std::endl;

    #include <string>
    using std::string;

    #define PASS "4xdfeSDE7"

    int main() {

    if (ptrace(PTRACE_TRACEME, 0, 1, 0) < 0)      //Si l'appel ptrace retourne une valeur négative, il a échoué => On quitte
    {
    cout << "Tentative de Crack\nAbandon..." << endl;
    return 1;
    }

    string mdp;

    cout << "Authentification requise\nMot de passe :\t";
    cin >> mdp;      //Capture clavier

    if (mdp == PASS)      //Si la chaîne rentrée au clavier est pareil que la chaîne PASS définie plus tôt
    cout << "Authentification réussie, bienvenue dans la suite du programme" << endl;

    else cout << "Echec de l'authentification\nAbandon..." << endl;      //Sinon

    return 0;
    }
Le but du programme est assez clair, nous allons maintenant le tester :
    $ g++ test.cpp -o test 
    $ ./test
    Authentification requise
    Mot de passe : testdepass
    Echec de l'authentification
    Abandon...
    $ ./test
    Authentification requise
    Mot de passe : 4xdfeSDE7
    Authentification réussie, bienvenue dans la suite du programme
    $ gdb -q test
    Using host libthread_db library "/lib/libthread_db.so.1".
    (gdb) r
    Starting program: /home/SeriousHack/test 
    Failed to read a valid object file image from memory.
    Tentative de Crack
    Abandon...

    Program exited with code 01.
    (gdb)

Comme prévu, le deuxième ptrace n'a pas pu se lancer, a renvoyé un code d'erreur et a détecté proprement l'utilisation du debugger. Ceci dit, cette protection est primaire, elle est donc couramment cachée par la technique du faux désassemblage que nous nous proposons d'expliquer maintenant.



هل اعجبك الموضوع :

أخر المواضيع من قسم : Piratage

Commentaires

Enregistrer un commentaire

التنقل السريع