Herhangi bir akıllı çalışma zamanı kodu değişikliği durumu var mı?

Çalışma zamanı kod değişikliği için herhangi bir meşru (akıllı) kullanım (çalışma zamanında kendi kodunu değiştiren program) düşünebiliyor musunuz?

Bu teknik virüsler tarafından tespit edilmekten kaçınmak için kullanıldığından, modern işletim sistemleri bunu yapan programlara kaşlarını çatıyor gibi görünüyor.

Tüm düşünebildiğim, derleme zamanında bilinemeyen bir şeyi çalışma zamanında bilerek bazı kodları kaldıracak veya ekleyecek bir tür çalışma zamanı optimizasyonu.

Kod değişikliği için birçok geçerli durum vardır. Çalışma zamanında kod oluşturmak aşağıdakiler için yararlı olabilir:

• Bazı sanal makineler performansı artırmak için JIT derlemesini kullanır.
• Üretme uzmanlaşmış işlevleri anında uzun bilgisayar grafikleri ortak olmuştur. Örneğin, Rob Pike ve Bart Locanthi ve John Reiser Donanım Yazılımında Bitmap Graphics on the Blit (1984) veya Chris Lattner tarafından Apple'ın OpenGL yığınlarında çalışma zamanı kod uzmanlığı için LLVM kullanımı hakkındaki bu gönderiye (2006) bakın .
• Bazı durumlarda yazılım , yığın üzerinde (veya başka bir yerde) dinamik kod oluşturulmasını içeren trambolin olarak bilinen bir tekniğe başvurur . Örnekler, GCC'nin yuvalanmış işlevleri ve bazı Unices'in sinyal mekanizmasıdır .

Bazen kod çalışma zamanında koda çevrilir (buna dinamik ikili çeviri denir ):

• Apple'ın Rosetta'sı gibi emülatörler , öykünmeyi hızlandırmak için bu tekniği kullanır. Başka bir örnek, Transmeta'nın kod dönüştürme yazılımıdır .
• Valgrind veya Pin gibi gelişmiş hata ayıklayıcılar ve profil oluşturucular , kodunuz yürütülürken onu kullanmak için kullanır.
• X86 komut setine uzantılar yapılmadan önce, VMWare gibi sanallaştırma yazılımları , sanal makinelerde ayrıcalıklı x86 kodunu doğrudan çalıştıramıyordu. Bunun yerine, sorunlu talimatları anında daha uygun özel koda çevirmesi gerekiyordu.

Kod değişikliği, komut setinin sınırlamalarını aşmak için kullanılabilir:

• Bilgisayarların bir alt yordamdan geri dönme veya dolaylı olarak belleği adresleme talimatı olmadığı bir zaman (uzun zaman önce, biliyorum) vardı. Kendi kendini değiştiren kod, alt yordamları, işaretçileri ve dizileri uygulamanın tek yoluydu .

Daha fazla kod değişikliği durumu:

• Birçok hata ayıklayıcı, kesme noktalarını uygulama talimatlarının yerini alır .
• Bazı dinamik bağlayıcılar çalışma zamanında kodu değiştirir. Bu makale , etkin bir kod değişikliği biçimi olan Windows DLL'lerinin çalışma zamanında yeniden konumlandırılması hakkında bazı arka plan bilgileri sağlar.

Bu, bilgisayar grafiklerinde, özellikle optimizasyon amacıyla yazılım oluşturucularda yapılmıştır. Çalışma zamanında birçok parametrenin durumu incelenir ve rasterizer kodunun optimize edilmiş bir sürümü oluşturulur (potansiyel olarak birçok koşullu ortadan kaldırır), bu da birinin grafik temellerini, örneğin üçgenleri çok daha hızlı oluşturmasına izin verir.

Asm komut kümesi sen olabilir bazı gerekli talimatı yoksun çünkü biri geçerli nedendir inşa kendini. Örnek: x86'da bir kayıttaki değişkene bir kesme yaratmanın bir yolu yoktur (örneğin, ax içindeki kesme numarasıyla kesme yapmak). Yalnızca işlem koduna kodlanmış sabit sayılara izin verildi. Kendi kendini değiştiren kodla bu davranışı taklit edebiliriz.

Bazı derleyiciler bunu statik değişken başlatma için kullanır ve sonraki erişimler için koşullu maliyetten kaçınırdı. Başka bir deyişle, "bu kodu yalnızca bir kez çalıştırır", ilk çalıştırıldığında bu kodu işlemsiz kodun üzerine yazarak uygularlar.

Birçok durum var:

• Virüsler, yürütmeden önce kodlarını "gizlemek" için genellikle kendi kendini değiştiren kod kullanırlar, ancak bu teknik aynı zamanda sinir bozucu ters mühendislik, kırma ve istenmeyen bilgisayar korsanlığı için de yararlı olabilir.
• Bazı durumlarda, çalışma süresi sırasında (örneğin yapılandırma dosyasını okuduktan hemen sonra) - sürecin geri kalanında - belirli bir dalın gereksiz yere değil, her zaman veya asla alınmayacağı bilindiğinde belirli bir nokta olabilir. hangi yoldan dallanacağını belirlemek için bazı değişkenleri kontrol ederek, dallanma talimatının kendisi buna göre değiştirilebilir
  • Örneğin, sanal gönderimin belirli bir çağrı ile değiştirilebileceği şekilde, olası türetilmiş türlerden yalnızca birinin ele alınacağı bilinebilir.
  • Hangi donanımın mevcut olduğunu tespit ettikten sonra, eşleşen bir kodun kullanımı kodlanmış olabilir
• Gereksiz kod, işlemsiz talimatlarla veya üzerinden atlayarak değiştirilebilir veya sonraki kod biti doğrudan yerine kaydırılabilir (konumdan bağımsız işlem kodları kullanıldığında daha kolaydır)
• Kendi hata ayıklamasını kolaylaştırmak için yazılan kod, stratejik bir konumda hata ayıklayıcı tarafından beklenen bir tuzak / sinyal / kesinti talimatı enjekte edebilir.
• Kullanıcı girdisine dayalı bazı yüklem ifadeleri, bir kitaplık tarafından yerel koda derlenebilir
• Çalışma zamanına kadar görünmeyen bazı basit işlemleri satır içine almak (ör. Dinamik olarak yüklenen kitaplıktan) ...
• Koşullu olarak kendi kendine enstrümantasyon / profil oluşturma adımları ekleme
• Çatlaklar, onları yükleyen kodu değiştiren kitaplıklar olarak uygulanabilir ("kendi kendine" tam olarak değişiklik yapmaz, ancak aynı tekniklere ve izinlere ihtiyaç duyar).
• ...

Bazı işletim sistemlerinin güvenlik modelleri, kendi kendini değiştiren kodun kök / yönetici ayrıcalıkları olmadan çalışamayacağı anlamına gelir ve bu da genel amaçlı kullanım için pratik değildir.

Wikipedia'dan:

Katı W ^ X güvenliğine sahip bir işletim sistemi altında çalışan uygulama yazılımı, yazmasına izin verilen sayfalardaki talimatları yürütemez - yalnızca işletim sisteminin hem belleğe talimat yazmasına hem de daha sonra bu talimatları yürütmesine izin verilir.

Bu tür işletim sistemlerinde, Java VM gibi programlar bile JIT kodunu yürütmek için kök / yönetici ayrıcalıklarına ihtiyaç duyar. (Daha fazla ayrıntı için http://en.wikipedia.org/wiki/W%5EX adresine bakın)

Sentez OS temelde kısmen API çağrıları ile ilgili olarak programınızı değerlendirdi ve sonuçları ile OS kodu değiştirilmiştir. Ana faydası, birçok hata kontrolünün ortadan kalkmasıdır (çünkü programınız işletim sisteminden aptalca bir şey yapmasını istemeyecekse, kontrol etmesi gerekmez).

Evet, bu bir çalışma zamanı optimizasyonu örneğidir.

Yıllar önce bir sabah kendi kendini değiştiren bir kodda hata ayıklamaya çalıştım, bir talimat aşağıdaki talimatın hedef adresini değiştirdi, yani bir şube adresini hesaplıyordum. Assembly dilinde yazılmıştı ve programa her seferinde bir talimat girdiğimde mükemmel çalıştı. Ama programı çalıştırdığımda başarısız oldu. Sonunda, makinenin bellekten 2 talimat aldığını ve (talimatlar bellekte düzenlendiği için) değiştirdiğim talimatın zaten getirildiğini ve bu nedenle makinenin talimatın değiştirilmemiş (yanlış) sürümünü çalıştırdığını fark ettim. Elbette, hata ayıklarken, bir seferde yalnızca bir talimat veriyordu.

Demek istediğim, kendi kendini değiştiren kod, test etmek / hata ayıklamak için son derece kötü olabilir ve genellikle makinenin davranışına (donanım veya sanal) ilişkin gizli varsayımlara sahiptir. Dahası, sistem (şimdi) çok çekirdekli makinelerde yürütülen çeşitli iş parçacıkları / süreçler arasında kod sayfalarını asla paylaşamaz. Bu, sanal belleğe, vb. Birçok avantajı ortadan kaldırır. Ayrıca, donanım düzeyinde yapılan şube optimizasyonlarını da geçersiz kılar.

(Not - JIT'i kendi kendini değiştiren kod kategorisine dahil etmedim. JIT, kodun bir gösteriminden alternatif bir gösterime çeviri yapıyor, kodu değiştirmiyor)

Sonuçta, bu sadece kötü bir fikir - gerçekten temiz, gerçekten belirsiz, ama gerçekten kötü.

Tabii ki - sahip olduğunuz tek şey 8080 ve ~ 512 baytlık bir bellekse, bu tür uygulamalara başvurmanız gerekebilir.

Bir işletim sistemi çekirdeği görünümünden, her Tam Zamanında Derleyici ve Bağlayıcı Çalışma Zamanı, program metni kendi kendini değiştirir. Öne çıkan örnek, Google'ın V8 ECMA Komut Dosyası Yorumlayıcısı olacaktır.

Kendi kendini değiştiren kodun bir başka nedeni (aslında "kendi kendini üreten" bir koddur), performans için Tam Zamanında bir derleme mekanizması uygulamaktır. Örneğin, bir cebirsel ifadeyi okuyan ve bunu bir dizi girdi parametresi üzerinde hesaplayan bir program, hesaplamayı belirtmeden önce makine kodundaki ifadeyi dönüştürebilir.

Donanım ve yazılım arasında mantıksal bir fark olmadığını eski kestaneyi biliyorsunuz ... kod ile veri arasında mantıksal bir fark olmadığını da söyleyebiliriz.

Kendi kendini değiştiren kod nedir? Veri olarak değil, bir komut olarak yorumlanabilmesi için yürütme akışına değerler koyan kod. Elbette, işlevsel dillerde gerçekten hiçbir farkın olmadığı teorik bakış açısı vardır. E'nin bunu, eşit statü varsayımı olmaksızın zorunlu dillerde ve derleyici / yorumlayıcılarda doğrudan yapabileceğini söylüyorum.

Bahsettiğim şey, pratik anlamda verilerin program yürütme yollarını değiştirebileceğidir (bir anlamda bu son derece açıktır). Bir derleyici-derleyici gibi, bir programın komuttan komuta geçişinde olduğu gibi, birinin ayrıştırma sırasında içinden geçtiği, durumdan duruma geçen (ve ayrıca diğer değişkenleri değiştiren) bir tablo (veri dizisi) oluşturan bir şey düşünüyorum. , süreçteki değişkenleri değiştirme.

Dolayısıyla, bir derleyicinin kod alanı oluşturduğu ve tamamen ayrı bir veri alanına (yığın) başvurduğu olağan durumda bile, yürütme yolunu açık bir şekilde değiştirmek için veriler yine de değiştirilebilir.

En iyi algoritmayı oluşturmak için evrimi kullanan bir program uyguladım. DNA planını değiştirmek için kendi kendini değiştiren kod kullandı.

Kullanım durumlarından biri, antivirüs programlarını test etmek için meşru bir DOS yürütülebilir COM dosyası olan EICAR test dosyasıdır .

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Kendi kendine kod değişikliği kullanmalıdır çünkü yürütülebilir dosya, kodlanabilir talimatların sayısını önemli ölçüde sınırlayan [21h-60h, 7Bh-7Dh] aralığında yalnızca yazdırılabilir / yazılabilir ASCII karakterleri içermelidir.

Detaylar burada açıklanmıştır

Ayrıca DOS'ta kayan noktalı işlem gönderimi için kullanılır

Bazı derleyiciler CD xx, x87 kayan noktalı komutların yerine 0x34-0x3B arasında değişen xx yayınlayacaktır . Yana CDiçin işlem kodu inttalimat, bu kesme 34h-3BH içine atlamak edeceğiz ve x87 işlemci mevcut değilse yazılımda bu talimat taklit. Aksi takdirde, kesme işleyicisi bu 2 baytı değiştirecektir, 9B Dxböylece daha sonraki işlemler emülasyon olmadan doğrudan x87 tarafından işlenecektir.

MS-DOS'ta x87 kayan nokta öykünmesi için protokol nedir?

Linux Kernel sadece bunu kernel Modülleri vardır.

Emacs'ın da bu yeteneği var ve her zaman kullanıyorum.

Dinamik bir eklenti mimarisini destekleyen herhangi bir şey, esas olarak çalışma zamanında kodun değiştirilmesidir.

Sürekli güncellenen bir veritabanına göre istatistiksel analizler çalıştırıyorum. İstatistik modelim, kullanılabilir hale gelen yeni verileri barındırmak için kod her çalıştırıldığında yazılır ve yeniden yazılır.

Bunun kullanılabileceği senaryo bir öğrenme programıdır. Kullanıcı girdisine yanıt olarak program yeni bir algoritma öğrenir:

1. benzer bir algoritma için mevcut kod tabanını arar
2. Kod tabanında benzer bir algoritma yoksa, program sadece yeni bir algoritma ekler
3. benzer bir algoritma varsa, program (belki de kullanıcının yardımıyla) hem eski amaca hem de yeni amaca hizmet edebilmek için mevcut algoritmayı değiştirir.

Java'da bunun nasıl yapılacağı sorusu var: Java kodunun kendi kendine değiştirilme olasılıkları nelerdir?

Bunun en iyi versiyonu Lisp Makroları olabilir. Sadece bir ön işlemci olan C makrolarından farklı olarak Lisp her zaman tüm programlama diline erişmenizi sağlar. Bu, lisp'deki en güçlü özellik hakkındadır ve başka hiçbir dilde mevcut değildir.

Ben kesinlikle bir uzman değilim ama lisp adamlarından birini bu konuda konuşturun! Lisp'in etraftaki en güçlü dil olduğunu söylemelerinin bir nedeni var ve akıllı insanlar hayır, muhtemelen haklılar.