第3章 软件安全技术.docVIP

3.4 防动态跟踪技术 P91 3.4.1 跟踪工具及其实现（DEBUG调试程序） DEBUG调试程序是一个使用简单且非常有用的工具程序。它既可以用于对任何格式的文件进行观察和修改，也可以对软盘和硬盘的任何区域进行直接读写。尤其是可以用于对执行程序的跟踪分析和把二进制代码转换为汇编指令，还可以查看内存状态，分析程序出错原因、病毒感染情况等。总之，如果想进入DOS的内部世界，DEBUG调试程序是一把极为有用的钥匙。 1.DEBUG调试程序的启动 DEBUG是DOS系统自带的外部命令，随DOS系统版本的不同，其功能也有所不同。DEBUG调试程序有两种启动方式： (1) 直接启动方式 (2) 带参数的启动方式 DEBUG [ [drive:] [path] filename [testfile-parameters] ] 说明驱动器路径名、文件名、测试文件参数后，DEBUG开始显示调试命令列表。在帮助信息中，除了给出启动DEBUG的两种格式之外，还告诉你在进入DEBUG以后，可以用？ 显示DEBUG的命令表信息。输入：—？Enter显示的命令表信息如下 ： assemble A[address] compare C range address dump D [range] enter E address [list] fill F range list go G[=address] [addresses] hex H value1 value2 input I port load L [address] [drive] [firstsector] [number] move M range address name N [pathname] [arglist] output O port byte proceed P[=address] [number] quit Q register R [register] search S range list trace T [=address] [value] unassemble U[range] write w[address] [drive] [firstsector] [number] allocate expanded memory XA[#pages] deallocate expanded memory XD[handle] map expanded memory XM[Lpage] [Ppage] [handle] display expanded memory status XS 除了Q命令之外，所有的DEBUG命令可以带或不带参数，指定使用逗号作参数的分隔符。两个连续数值之间的分隔符不可省去，其它情况可以不用分隔符。因此，下面的命令语句是等效的： -dcs:100 110 -d cs:100 110 -d,cs:100,110 DEBUG中所有的数值都是使用十六进制数。以下对常用参数做一简要说明： address 地址，由两部分组成，段地址与偏移量。段地址可以用段寄存器的字母表示，也可以用一到四位数字表示。段地址与位移量之间用“：”分隔。如果没有给出段地址，就使用默认值。除A、G、L、T、U、W命令是用CS寄存器外，其余的命令都有使用DS。 range address 由范围和地址两部分组成。 range 可以是一个地址加上L引出的长度，如CS：100L10；也可以是两个地址，但后一个地址不能用段地址。也就是说，地址的范围应用64K以内。 list 一组字节数值或字符串，它是命令行上给定的最后参数。串的值 需用单引号或双引号括起。例如：-F CS：100 54 45 53 20“Enter value 允许四位数表示的数值。 port 端口地址。 drive 驱动器号。0=A、1=B、2=C等等。 firstsector 读/写磁盘时的开始扇区号。 number 数量值。用作扇区数时，最大值是80h。 pathname 一个带路径的文件名。 arglist 文件的变量表。 byte 一个字节的代码，两位数。 register 寄存器名称。 2.DEBUG调试程序的命令 3.4.2 软件运行中的反跟踪技术 P96 反跟踪是软件安全不可少的重要技术。反跟踪是防止利用程序调试工具、跟踪软件的运行、