lisp程序反編譯的原理

1、抗反編譯程序鎮(zhèn)樓：力反編譯失效反編譯代碼不可用2.fas(171.07KB,下載次數(shù)：5)反編譯人員可以先測試這個附件，需要加密的朋友可以看下面：=提供一些簡單容易操作的Fas修改方法給需要抗反編譯的朋友。不定期更新。首先我們學習多Fas合并為一個Fas。因為目前反編譯工具都是針對單一Fas文件的，因此可以通過合并Fas方式稍微對抗一下。我們寫兩個小文件：d:1.lsp內(nèi)容：(defunc:qq()(printq)編譯為1.fas出2.lsp內(nèi)容：(defunc:bb()(printb)編譯為2.fas不用任何工具的方法：1.(vl-file-copyd:1.fasd:2.fasT)復制代碼加

2、載2.fas，是不是兩個命令都有了:)【如果你有興趣，也可以用這個函數(shù)自己合成VLX】然后我們開始學習二進制工具的使用：準備工具：EverEdit編輯器，這個網(wǎng)上有很多下載，論壇也有低版本可以搜索到。用2.lsp重新生成2.fas用EverEdit編輯器打開1.fas是一堆16進制編碼，不用管，全選復制。everedit打開2.fas。粘貼到后面(紅色表示修改)，直接另存為3.fas為了防止看的暈，圖放后面然后我們開張新圖紙，加載3.fas，測試兩個命令都存在。這個類似于VLX，但是不能打包txt和dcl。恭喜你完成了Fas的二進制修改！如果你把一個真Fas藏在幾十幾百個假的Fas中間(記得假

3、代碼和真代碼要差不多一樣，函數(shù)名類似)，那么想找出來真Fas也不容易。下面這步可以讓所有的反編譯工具反編譯后的代碼都不能使用，原理可以看下大海的帖子(看不懂可以忽略看后面)【首發(fā)】定義真正意義的可選參數(shù)(附帶防反編譯技術(shù))通過修改Fas實現(xiàn)函數(shù)真正的多參數(shù)，首先我們寫個簡單的程序：出4.lsp內(nèi)容：(defun壯1(己);注意函數(shù)不能是c:開頭，參數(shù)1個以上(printa)編譯為4.fasEverEdit打開4.fas看到一堆二進制的內(nèi)容,我們用Ctrl+F搜索14,找到第一個14,后面跟了幾個01,如下：1401010100(14表示函數(shù)開始，后面第一個01總是大于等于你參數(shù)個數(shù)，第二個01

4、和第三個01總是等于你參數(shù)的個數(shù)，最后總是00)修改方法：鼠標點在最后的00上，輸入01,保存。為了防止看的暈，圖放后面加載4.fas，命令行測試結(jié)果：命令：(tt11)11命令：(tt112)11命令：(tt1123)11命令：(tt11234)11根據(jù)你函數(shù)參數(shù)的個數(shù)，后面的01數(shù)量會變化。為什么反編譯后不能用？因為源碼不支持這種多參數(shù)調(diào)用，只要你改的函數(shù)夠多，反編譯后就需要修改你的代碼否則不能用。如果需要更多變化，可以回頭看大海的帖子了。合并Fas圖:D：V,fEls*-EwrEdit文性舊瑞竭IE有/g聲挖信J文檔tm工程CP)ZE亙CD擴濕N葡口CD幫囪舊1目屋Ifc置iTai軸圜a

5、s士皴1D-OQOCDODCDC2k20464L53342D46494C45203B2044D-DOOOO1OGF120CEGF7420G3w口GLE.75之口G97嚏21ODQOQO2OQESDA3Z31DDA33202414OOODDOO0902O-DG-0DO30co35O1DlcoD31624CD血3132382-0352D000004024.BEGH1C937043EE703702D13百4GX4X57D-QQ-OCiDSD6B364C4B2375CDCBAKF36AccB76ikXEO-0D-DDDGD3D50051443TO06巴占OD0B6631CD9B6EEa00000070

6、aa3E.35B3XOG5740OE541711074EOCOBOOQ-OOOSC633165FS6EcaC5c任0CB43XST5B工22E.D-DQ-DCO9O43生區(qū)44214F49S2三工3D及口2DccBG05CABO-000000asSC0712471I4.0-1OD4.COCJI-雌舊)Ctrl+G監(jiān)視器(1)-泰-L曲制H)曜制仲2進制舊14變成了020，后面跟著還是000000000000.這時候我們向后找051和188這個數(shù)字(以后為了找數(shù)字方便，我將用10進制進行講解)發(fā)現(xiàn)188？沒錯，這個188就是你剛才寫的188.如果你現(xiàn)在改了188保存Fas，輸出的數(shù)字將發(fā)生變化。

7、OD:5,fas-EverEdit文件時罪后舊查看查找文檔工程華工具m擴展離口m幫助的弋，國昌官品QGM吐的T三7質(zhì)圜）Lfa與婢|圜3加s城|圜4.加與白國足描；w0000000001301003207D0650830520450700730760690320590320600000001011103211011111GD32093104D971101031D1032105工工方口33DDOOGO20013010050D53D13Q10D51032.036020DOO000000DOO05111日日|00000030000COO000053001002000003010009001ODO05

8、3001D02DOQ0000004000302203G0L3010049050057032D5303203G195199OGG0510000005011B1461470230490271DD006DIB01705B047060070DaaD76000000600750790S50E917717904505011B25120B03106910105300700000070019G70087D67017003027D07D57D9S003D57253255066D50ooDoooao0351611470350170340540920660210930130690070270810000009001

9、1CSE114032215197067056D42160147023017106030061OOOODOAO070019020067D43Q06088DOS011095049060195199D67D50OOOOQOBOna169144037027102093007oia071029071017001025013DOOOOOCO002C560490212141390670511241691450370070240272GiOOOOOODO010073123013173DG2G2TDIO05910209?115052032Q99114DOOOOOEO1171100991D401005903605

10、906505304705204705004B然后我們開始修改，記得這次要輸入3個數(shù)改一個編碼：051改成087（固定修改，表示要跳過）188改成005（固定修改，跳過5個）跟著的三個編碼都是000000（不用修改，這三個屬于087）再來5個編碼xxxxxxxxxxxx改成任意0-128之間的5組數(shù)字即可（也就是讓反編譯失效的垃圾，紅色部分推薦值：003006009020042053057087103104106和其他數(shù)字混搭）原：020000000000000.051188000000000 xxxxxxxxxxxxxxx改：020000000000000.087005000000000003

11、111100009122保存5.fas，加載后只輸出ok。說明我們修改成功了。注意：不管020和188中間有多少其他內(nèi)容，我們總是從051188開始修改的。這里我們就需要了解一下為什么這樣修改可以抗反編譯首先我們需要了解vlx和Fas格式。vlx=fas+txt+dclvlx包括頭部、fas、文本、dcl、尾部等，頭部說明了包含的文件和獨立命名空間等相關(guān)說明，我們用普通文本工具打開就能看到。因vlx拆分工具和代碼也是公開了很多，這里就不再詳述。簡單講一下Fas的文件格式和編碼原理。Fas在解碼前包括頭部、函數(shù)代碼區(qū)、加密區(qū)、尾部。目前有一些公開的解碼工具（就是把加密區(qū)轉(zhuǎn)換后能夠看見數(shù)據(jù)區(qū)的字符

12、串）比如：通過二進制讀寫徹底修改VLX或者FAS原有命令還有：fas解碼程序6.1版，發(fā)布vc版，防止誤報病毒。頭部總是固定的，包含了這個字符串：FAS4-FILE;Donotchangeit尾部也總是固定的，一般是倒數(shù)10個字節(jié)。加密區(qū)每次Fas生成都會變，所以你可以用同一個代碼生成兩次來對比。然后函數(shù)代碼區(qū)同一套代碼每次生成都是固定的。只要你的代碼有defun自定義函數(shù)，那么都是從20 xxx0這樣的編碼指令開始的。（10進制編碼）Fas會把變量、字符串、單引號表、參數(shù)、系統(tǒng)函數(shù)等放到數(shù)據(jù)區(qū)，然后在代碼區(qū)用指令去調(diào)用。普通的數(shù)字和一些特殊函數(shù)會在代碼區(qū)直接列出來。（也就是為什么能看見188

13、這個數(shù)字）正常CAD生成的Fas，編碼規(guī)則都是固定的，比如20 xxx0總是固定的格式，而87xxxx跳轉(zhuǎn)指令一般出現(xiàn)在嵌套函數(shù)、條件語句、循環(huán)語句中。（后面的x表示跳的位置）正常的Fas沒有垃圾指令的產(chǎn)生，只是在執(zhí)行時根據(jù)條件跳過某些代碼不執(zhí)行。因此反編譯需要把所有的指令都翻譯為正常代碼。通過垃圾指令的填充，翻譯后的代碼中就包含了垃圾代碼（有些亂碼會讓反編譯出錯，因為編碼非正常不能翻譯出來）這種垃圾代碼會使得Lsp文件無法運行，甚至無法加載。接下來對頭文件的修改讓解碼失敗剛才看了抗反編譯的簡單原理，我們看下頭文件的編碼013010032070065083052045070073076069032059032068111032110111116032099104097110103101032105116033013010049054053057013010049050048032036用(vHist-string)轉(zhuǎn)義這段編碼，可以得到這樣的字符串：1.rnFAS4-FILE;Donotchangeit!rn1659rn120$復制代碼