VMProtect Linux + GDB

VMProtect
1

Добрый день.
Вопрос по обнаружению отладки под Linux.
Имеем бинарник, защищенный протектором с включенной опцией обнаружения отладчика. Однако GDB прекрасно работает, защита его не обнаруживает.

В чем может быть дело? Обнаружение отладчика под никсами работает?

2

К сожаление обнаружение отладчика пока не работает.

3

А планируется?

4

Проверяйте (3.1.2.877):
http://vmpsoft.com/files/VMProtectDemo_x64.tar.gz

5

При таком запуске:
sudo gdb ./App.protected
…
start
Защищенное приложение падает с ответом отладчика exit with code 0336, то есть вроде все хорошо.

А если попытаться приаттачится к уже запущенному приложению:
sudo gdb --pid=XXXX
continue

То все работает, отладчик не обнаруживается.

Параллельно есть еще вопрос - поддерживается ли защита .so, так как у нас после компиляции в итоговом файле пропадает заголовок ELF

6

А если попытаться приаттачится к уже запущенному приложению:
sudo gdb --pid=XXXX
continue

То все работает, отладчик не обнаруживается.

Антиаттача пока нет.

Параллельно есть еще вопрос - поддерживается ли защита .so, так как у нас после компиляции в итоговом файле пропадает заголовок ELF

Поддерживается. Присылайте тестовый пример, на котором воспроизводится проблема.

7

По библиотеке отбой, разобрались.
Когда ждать реализации антиаттача и выхода полнофункциональной версии протектора с этими правками?

8

По антиаттачу пока сроки назвать не могу, т.к. нужны исследования в этой области.

9

Обнаружили еще вот что.
KUbuntu 14.04 64 bit. Защищённое приложение запускается как служба (через систему upstart). Если выключена защита от отладки, то всё хорошо. Если включена (не важно user mode или user mode + kernal mode), то служба не запускается. По-видимому срабатывает защита от отладки.

10

Что выдает “/proc/self/status” на такие процессы?

11

Запрос статуса службы
initctl status <имя службы>
выдаёт
<имя службы> start/running, process 1045
Но процесса 1045 нету, и папки для него в proc тоже нету.

12

если выполнить “/proc/self/status” из службы что покажет?

13

Нельзя ничего сделать из защищенной службы, так как до нашего кода управление не доходит.

14

Для НЕЗАЩИЩЕННОЙ запустите.

15

Прикладываю
data.7z (590 Bytes)

16

afterfork показывает, что процессс отлаживается другим процессом (“TracerPid: 1”)

17

служба не отлаживается. Процесс с PID = 1 это и есть системный процесс отвечающая за запуск служб. Видимо upstart мониторит статус службы через трассировку. Либо какие-то процессы надо добавлять в исключения при определении отладки.

18

Я правильно понимаю, что к такой службе уже нельзя подключиться отладчиком?

19

TracePID=1 только в BeforeFork, в AfterFork он 0.
Загрузчик upstart считает количество форков чтобы определить что служба запущена, и наверное для этого ему трейс и нужен.
Отладчиком подключиться после старта можно

20

Проверяйте (3.1.2.928):
http://vmpsoft.com/files/VMProtectDemo_x64.tar.gz