保护コート?の自然さに着目した命令カムフラーシ?ュ
?
0 likes?223 views
This study proposes a method for constructing natural protection code, that is, code with no artificial code fragments, based on the instruction camouflage technique. An artificial code fragment is a code fragment that does not resemble raw compiled code, which often appears in protection code. In the proposed method, first, the artificiality of each n-gram which makes up the protection code is evaluated based on the probability of occurrence of the n-gram. Then the artificial code fragments are camouflaged with dummy code fragments that are less artificial. The routines which restore the code are also inserted so that they do not cause malfunction or produce another artificial code fragments, taking into account the control flow of the code. The protection code that is transformed by the proposed method can be difficult to locate by attackers, which may improve the stealth of the protection code. In the case study, the proposed method is applied to a program protected by a well-known obfuscation method and the stealth of the transformed code is discussed. Keywords: software protection, obfuscation, instruction camouflage, code artificiality
![難読化 命令カムフラージュ暗号化
9
コードの一部を暗号化し実行時に復号
様々なソフトウェア保護
例 ) AESを用いた暗号化の例
cmp
jge
mov
esi, edi
L1
eax, [ebp+12]
012dae3d7f123eac3
ff356dad2369000ce
af0970359afe89867
暗号化
復号ルーチン](https://image.slidesharecdn.com/random-170318145206/85/-9-320.jpg)
![オリジナル 1-gram 2-gram 3-gram
コード
mov
call
cmp
je
call
mov
call
test
je
mov
call
test
je
call
不自然さ 0.35 2.29 4.26
決定した自然な偽装命令とその周辺命令列
36
偽装結果[1/2]](https://image.slidesharecdn.com/random-170318145206/85/-36-320.jpg)
![オリジナル 1-gram 2-gram 3-gram
mov
call
cmp
je
call
1
2
3
4
5
6
mov
call
lea
cmp
je
test
0.35
1.12
1.32
1.40
1.42
1.44
test
cmp
mov
lea
add
sub
2.29
2.89
3.17
4.46
4.80
5.04
test
cmp
sub
add
inc
dec
4.26
4.74
5.92
6.04
6.20
6.72
自然な偽装命令とその不自然さ
37
偽装結果[2/2]](https://image.slidesharecdn.com/random-170318145206/85/-37-320.jpg)
![オリジナルコードの不自然さ分布
(3-gram)
38
従来との比較結果[1/2]
0
2
4
6
8
10
12
不自然なコードはない
不
自
然
さ](https://image.slidesharecdn.com/random-170318145206/85/-38-320.jpg)
![従来のカムフラージュでの
不自然さ分布
(3-gram)
39
従来との比較結果[2/2]
0
2
4
6
8
10
12
不自然さを考慮したカムフラージュ法での
不自然さ分布
(3-gram)
従来のカムフラージュ法に比べ
目立つ箇所は少ない
不
自
然
さ
不
自
然
さ
0
2
4
6
8
10
12
不自然 自然](https://image.slidesharecdn.com/random-170318145206/85/-39-320.jpg)
保护コート?の自然さに着目した命令カムフラーシ?ュ
- 1. 永井 晃人? 神崎 雄一郎? 門田暁人?? 保護コードの自然さに着目した命令カムフラージュ 2015 03 17 ?熊本高等専門学校 電子情報システム工学専攻 ?熊本高等専門学校 人間情報システム工学科 ??奈良先端科学技術大学院大学 情報科学研究科
- 4. 3つの攻撃手順 4 攻撃者による攻撃の手順 1 2 3 逆アセンブル 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 攻撃者が理解しやすいコード
- 5. 5 1 2 3 攻撃対象の発見 3つの攻撃手順 攻撃者による攻撃の手順 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 秘密情報が含まれている可能性大
- 6. 6 1 2 3 コードの理解 3つの攻撃手順 攻撃者による攻撃の手順 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 1000 AB 10 CF 23 31 1001 3F 3A 3B 10 0A 1002 FF 1A 3C D3 3F 1003 C3 34 10 FA FF 1004 CD EF EE 01 10 1005 AB 93 01 3A D0 1006 CC 30 E2 DD 60 mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp mov %ebp, %eax nop mov %eax, $10 cmp $10, %ebp je L10 mov %ebp, %exx jmp 秘密情報を改ざん?取得
- 8. 難読化 命令カムフラージュ暗号化 8 人間が理解しにくい形に一部のコードを追加?変更 様々なソフトウェア保護 Z = (xy + ((x & y) << 1 )) | w) + ((xy + ((x & y << 1)) & w) 例 ) 整数演算の複雑化の例 Z = x + y + w
- 9. 難読化 命令カムフラージュ暗号化 9 コードの一部を暗号化し実行時に復号 様々なソフトウェア保護 例 ) AESを用いた暗号化の例 cmp jge mov esi, edi L1 eax, [ebp+12] 012dae3d7f123eac3 ff356dad2369000ce af0970359afe89867 暗号化 復号ルーチン
- 10. 難読化 命令カムフラージュ暗号化 10 一部の命令を偽装し，実行時のみ復帰 様々なソフトウェア保護 例 ) jne命令をjmp命令で偽装する例 ： movl %eax ,%ebp movl $10 ,%ebp jne L10 nop ： 復帰ルーチン ： movl %eax ,%ebp movl $10 ,%ebp jmp L7 nop ： 隠蔽ルーチン 偽装
- 13. 13 命令カムフラージュ法の例 1 2 命令の偽装 ： ： movl %eax ,%ebp movl $10 ,%ebp jmp L7 nop ： ： ： movl %eax ,%ebp movl $10 ,%ebp jne L10 nop ： オリジナルプログラム カムフラージュ後のプログラム
- 14. ： ： movl %eax ,%ebp movl $10 ,%ebp jmp L7 nop ： ： オリジナルプログラム カムフラージュ後のプログラム 14 Replace with “jne L10” Replace with “jmp L7” 自己書き換え機構の挿入 1 2 復帰 隠蔽 命令カムフラージュ法の例 ： movl %eax ,%ebp movl $10 ,%ebp jne L10 nop ：
- 17. Original Example 2Example 1 mov call cmp je call aaa命令は加算命令の後に 使用する特殊な命令であり 不自然 比較命令 の後のjmp 命令は不自然 17 不自然なコードの例 mov call cmp jmp call mov call aaa je call 偽装命令の選択しだいでは Example 2
- 18. Original Example 2Example 1 mov call cmp je call 18 不自然なコードの例 mov call cmp jmp call mov call aaa je call 結果として 攻撃者が保護コードを発見しやすくなり 攻撃者の解析を容易にする
- 23. 23 自然言語をコーパスとした確率的言語モデル 文の自然さ N-gramモデル コーパスから文の生成確率を計算 文の自然さを生成確率で表現 私は パソコンが ＿＿＿＿ 好き 強い 生成確率： 0.92 生成確率： 0.12
- 25. 25 自然言語をコーパスとした確率的言語モデル コードの不自然さ N-gramモデル 自然言語 不自然さ コードの不自然さ ?(? ? ? ) ≈ ?=? ? ? ? ? ? ???+? ??? ) ????????????? ? ? = ? ??? ?? ?(? ? ? ) 生成確率 不自然さ ※Aの値が低いことを「自然」と呼ぶ
- 26. 26 自然言語をコーパスとした確率的言語モデル コードの不自然さ N-gramモデル 自然言語 不自然さ コードの不自然さ mov call test je call mov call test call test je test je call P(test | mov call) P(je | call test) P(call | test je) 不自 然さ ※コード長5の場合に3-gramによってコードの不自然さを求める例 log
- 36. オリジナル 1-gram 2-gram 3-gram コード mov call cmp je call mov call test je mov call test je call 不自然さ 0.35 2.29 4.26 決定した自然な偽装命令とその周辺命令列 36 偽装結果[1/2]
- 37. オリジナル 1-gram 2-gram 3-gram mov call cmp je call 1 2 3 4 5 6 mov call lea cmp je test 0.35 1.12 1.32 1.40 1.42 1.44 test cmp mov lea add sub 2.29 2.89 3.17 4.46 4.80 5.04 test cmp sub add inc dec 4.26 4.74 5.92 6.04 6.20 6.72 自然な偽装命令とその不自然さ 37 偽装結果[2/2]
- 40. ◆ 偽装対象命令のオペランドを考慮した自然な命令の決定 ◆ 複数命令での自然な偽装や, 自己書き換えルーチンの 自然な挿入位置の決定 40 保護コードの自然さに着目した 命令カムフラージュ法を提案 今 後 の 課 題 結論と今後の議論