Programming Linux Anti-Reversing Techniques

Contents......Page 2
Preface......Page 5
Using CMake......Page 7
The Code......Page 8
Compiling......Page 11
Executing......Page 13
Accessing the Shell......Page 14
2 Compiler Options......Page 15
-g......Page 16
Recovering the Bind Shell Password with Hexdump......Page 21
Recovering the Bind Shell Password with GDB......Page 23
The Debugging Information in IDA......Page 24
Removing the Debugging Information......Page 25
Case Study: XOR DDOS......Page 27
-s......Page 28
SYMTAB vs. DYNSYM......Page 29
Case Study: The FILE Symbol......Page 33
Examing Trouble After -s......Page 34
Looking at FUNC symbols......Page 36
Hiding FUNC symbols......Page 37
-O......Page 40
Corrected Block Tiny Encryption Algorithm (XXTEA)......Page 41
-Os......Page 47
-O3......Page 49
-funroll-loops......Page 52
Resolving Functions at Runtime......Page 56
ltrace......Page 59
LD_PRELOAD......Page 60
Using musl......Page 63
The Strip Utility......Page 68
Removing the Section Headers Table......Page 72
Little Endian or Big Endian?......Page 82
Flipping the Executable Bit......Page 88
Lying with .init......Page 101
Hiding the Entry Point......Page 111
Mixing the Symbols......Page 122
Code Reorganization......Page 133
Stack Strings......Page 134
XOR Stack String......Page 139
Computing the Function's Size Using a Linker Script......Page 145
Decryption Logic......Page 151
Encryption Logic......Page 158
Creating a Cryptor......Page 166
Implementing the Cryptor......Page 167
Analyzing the Cryptor......Page 172
Indirect Function Calls......Page 178
Signals......Page 183
Early Return......Page 187
Jump Over an Invalid Byte......Page 193
Jump! Jump!......Page 197
Always Follow the Conditional......Page 199
Overlapping Instructions......Page 202
Trace Me......Page 207
Trapping the Debugger......Page 210
Becoming Attached......Page 216
/proc/self/status......Page 219
madvise......Page 223
prctl......Page 232
Detection Before main()......Page 236
Computing Function Checksums......Page 237
Conclusion......Page 246