浅析SMC技术

SMC是英文Self-Modifying Code的缩写形式，顾名思义，就是“代码自修改”也就是说可以在一段代码执行之前先对它进行修改。
   SMC技术在DOS时代非常流行，因为DOS时代更接近系统底层。所以即便是现在实现SMC技术，都以汇编码最为方便。
  
      ‘利用SMC技术的这个特点，在设计加密方案时，可以把代码以加密形式保存在可执行文件中，然后在程序执行时再动态解密，这样可以有效地对付静态分析。因此要想了解被加密的代码的功能，只有动态跟踪或者分析出解密函数的位置编写程序来解密这些代码。’
      实际运用中，SMC技术用途是相当广泛的，并不仅仅是用来反跟踪。这是靠运用者的思维来决定。
      然而，可能会有人说SMC今天已过时。但这并不影响要求像我这样的初学者了解SMC技术，至少要知道SMC这个概念。



下面用老罗的一个例程来说明SMC技术的运用：

是用汇编，虽然SMC并不是汇编的专利！
可能路过的朋友对长篇的汇编码感到烦乱，不过没关系
我在这里作一点指引：
我们可以把这个例程结构理解为

1，invoke ShowMessage
2，修改ShowMessage proc
3，invoke ShowMessage


好了
我们看老罗的源码吧：
声明：
对于Ring3程序来说，.code段默认是不可写！所以MASM里通过链接改变其属性：

ml /c /coff %1.asm
link /subsystem:windows /section:.text,RWE %1.obj

/section:.text,RWE 这句指定了代码段（.text）的属性是RWE，含义是：R（ReadAble），W（WriteAble），E（ExecuteAble）！

;***********************************************;程序名称：演示SMC原理;作者：罗聪;日期：2002-10-2;出处：http://laoluoc.yeah.net（老罗的缤纷天地）;注意事项：如欲转载，请保持本程序的完整，并注明：;转载自“老罗的缤纷天地”（http://laoluoc.yeah.net）;***********************************************.386.model flat, stdcalloption casemap:noneinclude \masm32\include\windows.incinclude \masm32\include\kernel32.incinclude \masm32\include\user32.incincludelib \masm32\lib\kernel32.libincludelib \masm32\lib\user32.libShowMessage    protoReplaceMent    proto.dataszMsg1        db    "这是未执行SMC之前的代码！", 0szMsg2        db    "SMC已经执行！", 0szCaption     db    "SMC demo by LC, 2002", 0Replace_Len   dd    0.codemain:    ;第一次执行子程序ShowMessage，此时还没执行SMC操作    invoke ShowMessage    lea eax, ReplaceMentEnd      ;标号ReplaceMent的结束    lea edx, ReplaceMentStart    ;标号ReplaceMent的开始    sub eax, edx                 ;标号ReplaceMent的长度    mov Replace_Len, eax         ;把长度储存起来    ;关键代码！！！！！！！！！    lea esi, ReplaceMentStart    ;标号ReplaceMent的开始    lea edi, ShowMessageStart    ;原程序ShowMessage的标号的开始    mov ecx, Replace_Len         ;标号ReplaceMent的长度    rep movsb                    ;这里是最关键的语句！！！执行SMC操作！    ;第二次执行子程序ShowMessage，此时已经执行了SMC操作。    ;换句话说，ShowMessage的内容已经不是第一次运行时的内容了：    invoke ShowMessage    invoke ExitProcess, 0ShowMessage    proc    ;这里用“::”的话，就能够使标号成为全局性的    ShowMessageStart::        invoke MessageBox, NULL, addr szMsg1, addr szCaption, MB_OK    ShowMessageEnd::    ;用nop来预留空间，以便后面的SMC能够成功执行；    ;否则如果空间不够，将有可能产生不可预测的错误：    nop    nop    nop    nop    nop    nop    nop    nop    retShowMessage    endpReplaceMent    proc    ;将要用来SMC的代码：    ReplaceMentStart::        ;invoke MessageBox, NULL, addr szMsg2, addr szCaption, MB_OK or MB_ICONINFORMATION        push    MB_OK or MB_ICONINFORMATION        lea     eax, szCaption        push    eax        lea     eax, szMsg2        push    eax        push    NULL        lea     eax, MessageBox        call    eax    ReplaceMentEnd::    retReplaceMent endpend main

第二次执行ShowMessage proc时结果已经是跟第一次执行的不同了
因为在第二次执行之前ShowMessaeg proc内容已经被改变
所以结果当然不同

就是我们爆破软件那样，通过手工修改一定区域代码实现返回不同结果！
这里就是 Self-Modifying Code，让机器自己修改。

所以，SMC是非常实用，至少有必要了解的东西！