Packer (informatica): differenze tra le versioni

Versione delle 16:57, 20 mag 2009

Versione delle 18:09, 22 mag 2009

Riga 35:

In questa porzione di codice viene chiamata la funzione func1 che incrementa l'indirizzo di ritorno di func1 per fare in modo che "DB ..." non venga eseguito.

Nell'analisi di questa porzione di codice con un debugger, è facile accorgersi che lo [[step-over]] della funzione "func1" non ha l'effetto sperato: l'esecuzione continua fino al termine del programma. Questo è dovuto al fatto che i più comuni strumenti di debugging, nell'eseguire lo step-over, impostano un [[breakpoint]] subito dopo la chiamata della funzione. Di conseguenza per un debugger una funzione non è terminata fin quando l'istruction pointer non punta all'istruzione successiva alla CALL (evento che non accade mai nell'utilizzo di questa tecnica). Di conseguenza, il reverser è costretto a fare lo [[step-into]] di ogni funzione.

===Opaque predicates===

Gli "opaque predicates" sono porzioni di codice che restituiscono un valore [[booleano]] predeterminato che, per qualche ragione, necessita di essere calcolato a run-time.

Si consideri quest'esempio:

mov eax,1

...

cmp eax,1

je func1

jne somewhere

L'istruzione "cmp eax,1" restituirà sempre vero ma nonostante ciò dovrà essere calcolata di volta in volta a run-time.

Questa tecnica, in congiunzione a quella del junk code, può bastare per confondere i disassembler più semplici facendo perdere loro l'allineamento (il disassembler non è in grado di predire quale "ramo" verrà eseguito e quale no).

===Virtual machine===