【正文】 0025 B44C MOV AH， 4C 1E53： 0027 CD21 INT 21 計算機(jī)安全技術(shù) 軟件安全技術(shù) 軟件安全的基本要求 防止靜態(tài)閱讀和分析主要方法：將識別磁盤特殊標(biāo)記的程序放在比較隱蔽的地方，或者是對該段程序進(jìn)行加密變換，以密文的形式放在軟件中。 高 2位存放磁道柱面號的高 2位 。 特殊標(biāo)記：軟標(biāo)記，硬標(biāo)記 計算機(jī)安全技術(shù) 軟件安全技術(shù) 軟件安全的基本要求 拷貝盤 母盤 制造的特殊標(biāo)記 特殊標(biāo)記的不完全拷貝 圖 4— 1 加密母盤的不完全拷貝示意圖 圖 4— 2 防拷貝軟件的一般結(jié)構(gòu) 開 始 讀磁盤特殊標(biāo)記 有標(biāo)記嗎？ 正常運行 結(jié) 束 拒絕運行 N Y 計算機(jī)安全技術(shù) 軟件安全技術(shù) 軟件安全的基本要求 一個簡單的手工作業(yè)方法制作硬標(biāo)記：準(zhǔn)備一根針，在酒精燈上將針尖部分燒紅，然后在磁盤上選擇某一位臵，將燒紅的針尖靠近磁介質(zhì)表面停留片刻（注意不要接觸磁介質(zhì)表面）；當(dāng)拿開針尖以后，磁盤介質(zhì)的這一部分就有一個小小的痕跡因受熱而發(fā)生變化，不能記錄信息，被損壞的扇區(qū)如果用 INT13H讀寫數(shù)據(jù)時，會發(fā)生 10H（ CRC）錯。 防拷貝技術(shù)是軟件加密的核心技術(shù) ，利用專用技術(shù)制造一種特殊標(biāo)記，正常的拷貝途徑無法復(fù)制這種特殊標(biāo)記，或者是拷貝到的特殊標(biāo)記不完整。 CL：低 6位放入所讀的起始扇區(qū)號 。 進(jìn)一步地 ， 還可以將 1E53:0007處的指令改為： JMP 001E 這樣 ， 該程序在運行時甚至連讀盤都不進(jìn)行 ， 就可以正常運行 。 例如，對于上面的程序，我們可以在防拷貝和防靜態(tài)分析的基礎(chǔ)上再增加防動態(tài)跟蹤的技術(shù)。而加密軟盤都有自己的識別程序，當(dāng)判斷有 CRC檢驗錯誤時，就認(rèn)為此盤是原盤，然后執(zhí)行被保護(hù)的用戶程序；若沒有 CRC校驗錯誤，則認(rèn)為此盤是復(fù)制品，從而拒絕運行被保護(hù)的用戶程序，使拷貝工具無法使用，不能正常工作。即使原樣拷貝出復(fù)制品，在識別程序中，首先對被掩膜的磁盤扇區(qū)進(jìn)行格式化，然后再判別該扇區(qū)是否讀寫正常。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 軟標(biāo)記加密法 所謂的磁道接縫軟指紋，就是指磁道的后臵區(qū)，因而利用磁道接縫軟指紋進(jìn)行加密是完全可能的。 BX:被格式化的地址字段集合地址 ， 四個字節(jié)組成 。 如果讀該磁盤的一段程序能夠使磁盤驅(qū)動器的讀／寫磁頭在寫有相同信息的兩個磁道之間 （ 物理上實際是一個寬 “ 磁道 ” ） 來回步進(jìn) ， 那么讀出的數(shù)據(jù)流也不會是中斷的 ， 即可以將寬磁道上的數(shù)據(jù)完整讀出 。 1．利用錯誤 CRC碼加密 2．磁道噪聲法 3．雙機(jī)加密法 4．卷標(biāo)加密法 5．弱位加密法 6． ID ROM加密法 7．利用加密器進(jìn)行加密 計算機(jī)安全技術(shù) 軟件安全技術(shù) 扇段軟標(biāo)記加密方法很多 ， 如扇區(qū)間隙加密法 、 扇區(qū)軟指紋加密法 、 異常 ID加密法 、 額外扇段加密法 、 超級扇段加密法 、 扇區(qū)錯亂排序法 、 未格式化扇區(qū)法和扇段對齊技術(shù)法等 。 ID加密法 通常采用異常 ID參數(shù)的方法如下： （ １ ） 使扇區(qū)長度不等于 512字節(jié) 。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 額外扇段加密法 在邏輯結(jié)構(gòu)上，一個磁道包含若干個扇區(qū)以及前臵區(qū)和后臵區(qū)（ GAP4）。超級扇段技術(shù)也稱連續(xù)寫技術(shù)，它使用專用設(shè)備在軟盤上寫上一些超長的扇區(qū)，這些扇區(qū)的長度接近一個磁道的長度（如 N=5時，每扇區(qū)字節(jié)數(shù)為4096字節(jié)）。 標(biāo)識域指示該扇區(qū)所在的磁道號 、 磁頭號和扇區(qū)號以及扇區(qū)中數(shù)據(jù)域的大小 。這樣，被加密程序運行時，首先利用被加密程序中的一程序段對某一特定磁道進(jìn)行檢查。但是由于要精確依靠磁盤的轉(zhuǎn)動速度來判斷扇段對齊，而磁盤的轉(zhuǎn)動速度實際上時時刻刻都不相同，因而這種加密技術(shù)實施難度大，也較難得到高可靠性。這樣，如果非法用戶輸入的口令不正確，程序根本無法運行，而對于解密來說，也是相當(dāng)困難的。 程序如下： MOV AH， 2AH INT 21H CMP CX， 1992 JB OK－ PASS JA ERR CMP DH， 3 JB OK－ PASS JA ERR CMP DH， 26 JB OK－ PASS ERR： PUSH CS POP DS MOV DX， OFFSER MSG MOV AH， 9 INT 21H RETRY ： CLI HLT JMP RETRY MSG DB ODH， OAH， 09 OK— PASS： ……… 上述程序段在檢測到軟件使用期限已經(jīng)到期的情況下 ， 首先顯示提示信息警告用戶 ， 然后使程序轉(zhuǎn)入死機(jī)狀態(tài) 。如果是合法用戶，安裝程序便將規(guī)定的運行次數(shù)寫入主引導(dǎo)扇區(qū)相應(yīng)的單元中，被加密軟件每一次運行時讀取這一單元的內(nèi)容并進(jìn)行減 1操作，然后判斷運行次數(shù)是否為 0，從而決定程序是否執(zhí)行。 硬盤加密技術(shù)主要采用以下幾種方法： ① 主引導(dǎo)扇區(qū)設(shè)臵密碼防拷貝； ② 利用文件首簇號防拷貝； ③ 硬盤消隱與還原技術(shù) 。 1．文件首簇號的獲取與安裝 文件首簇號的獲取與安裝操作由安裝程序來完成。這是通過用密鑰系統(tǒng)盤啟動機(jī)器實現(xiàn)的，該密鑰系統(tǒng)盤由授權(quán)用戶掌握。 T：單步跟蹤命令 。單步中斷是由機(jī)器內(nèi)部狀態(tài)引起的一種中斷。 這個新值可以是被加密程序中某一程序的入口 ， 也可以是一個隨機(jī)數(shù) 。如果在軟件運行時，自身不需要進(jìn)行堆棧操作就可以將堆棧段設(shè)臵在內(nèi)存 ROM區(qū)，這時則不能保存斷點，也就無法返回到斷點，從而造成死機(jī)使跟蹤無法進(jìn)行下去。 （ 2） 修改管理程序入口地址 （ 3）禁止鍵盤中斷 （ 4）禁止鍵盤接收數(shù)據(jù) 計算機(jī)安全技術(shù) 軟件安全技術(shù) 防動態(tài)跟蹤技術(shù) 4． 顯示控制法 （ 1）改變字符顯示屬性，封鎖屏幕顯示：正常情況下，顯示字符的顏色為一種顏色，而屏幕的背景顏色為另一種顏色。通過 INT 10H修改屏幕中斷，使其成為啞中斷，或利用 INT 10H使時鐘中斷定期清屏，達(dá)到關(guān)閉屏幕以阻止跟蹤，而在軟件識別有母盤標(biāo)志后，恢復(fù)屏幕顯示中斷管理入口地址。 通過檢測單步中斷和斷點中斷的中斷向量是否相同 ， 便可以發(fā)現(xiàn)程序是否被跟蹤 ， 從而決定是繼續(xù)執(zhí)行還是進(jìn)行異常處理 。 作為廢指令的指令 ， 應(yīng)是大多數(shù)用戶生疏的指令 。 此外 ， 采用覆蓋技術(shù)還可以增加靜態(tài)分析難度 。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 防動態(tài)跟蹤技術(shù) 7． 覆蓋技術(shù)法 大型程序所采用的一種技術(shù) ， 目的是解決內(nèi)存空間不足的矛盾 。 當(dāng)程序被正常執(zhí)行和被跟蹤時 ， PSP＋ 14H與 PSP＋ 16H處兩個字的內(nèi)容不同 （ 未跟蹤時相等；被跟蹤時內(nèi)容不等 ） ， 從而可以判斷該程序是否被跟蹤 。 其防跟蹤的效果可由兩個隱蔽來保證：一是檢測的隱蔽；二是異常處理的隱蔽 。因此，在程序運行時，如果發(fā)現(xiàn)自己沒有操作的屏幕位臵，顯示信息發(fā)生了變化，則可以斷定一定有人在跟蹤程序的運行，從而采取相應(yīng)的防跟蹤措施，檢測屏幕信息的變化，以判別加密軟件是否處于動態(tài)調(diào)試程序的監(jiān)控之下。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 防動態(tài)跟蹤技術(shù) 3． 封鎖鍵盤輸人法 DEBUG的各種命令都是通過鍵盤輸入的 。 修改這兩個中斷的中斷向量 ， 就可以破壞跟蹤或使跟蹤誤入 “ 歧途 ” 。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 防動態(tài)跟蹤技術(shù) 防動態(tài)跟蹤的方法 防動態(tài)跟蹤的目的是阻止破譯者進(jìn)行有效跟蹤 。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 防動態(tài)跟蹤技術(shù) G：運行命令 。密鑰系統(tǒng)盤的關(guān)鍵在于引導(dǎo)記錄，它是采用搬移硬盤分區(qū)表實現(xiàn)加鎖，采用恢復(fù)硬盤分區(qū)表實現(xiàn)解鎖的。 程序片段如下： MOV DX， OFFSET FCBI MOV AH， 11H INT 21H 計算機(jī)安全技術(shù) 軟件安全技術(shù) 磁盤的消隱與還原 1． 硬盤消隱技術(shù) 一種使硬盤從邏輯上消失 ， 在邏輯上不存在的硬盤 ，在物理上始終是存在的 。 被安裝的軟件 ， 一般在出售給用戶之前已進(jìn)行了防動態(tài)跟蹤和防靜態(tài)分析的加密處理 ， 并具有識別硬盤主引導(dǎo)扇區(qū)中存放的密碼功能 。這兩個軟件都通過軟盤方式售給用戶，其中被出售的商品軟件是經(jīng)過加密處理的。對于被加密的軟件來說，在每次運行過程中，都要將運行次數(shù)單元內(nèi)容減 1，當(dāng)某一次運行結(jié)果中運行次數(shù)減為 0時，該加密軟件從此便不能運行，或拒絕運行，或?qū)⒆陨韽拇疟P上刪除掉，然后要求用戶利用安裝盤重新安裝。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 口令加密與限制技術(shù) 設(shè)臵軟件使用期限的方法 ， 一般是利用 DOS的系統(tǒng)功能調(diào)用 2AH子功能 ?？诹钭州斎牒笈c程序中事先安排好的規(guī)定值進(jìn)行比較。 具體做法是：檢查磁盤的 39道上扇區(qū)數(shù)是否大于 7。 PUSH ES MOV AH， 35H ；取磁盤基數(shù)表指針 MOV AL， 1EH INT 21H MOV AL， 07H ；修改磁盤基數(shù)表中每道的扇區(qū)數(shù) ADD BX， 04H MOV ES： [BX]， AL POP ES 計算機(jī)安全技術(shù) 軟件安全技術(shù) MOV DL， 0 ；將 39磁道特殊格式化為有未格式化的扇區(qū) MOV DH， 0 MOV CH， 27H MOV BX， OFFSET GSH_BUF ；該磁道僅有 7個扇區(qū) MOV AH， 05 INT 13H PUSH ES MOV AH， 35H MOV AL， 1EH INT 21H MOV AL， 09H ；恢復(fù)磁道基數(shù)表原值 ADD BX， 04H MOV ES： ? BX]， AL POP ES 格式化時所需的標(biāo)識字段 DB 27H， 00， 02， 02 。 磁道扇區(qū)亂序排列法就是打亂磁道扇區(qū)的正常排列 ，改變由小到大的次序 ， 由大到小排列 ， 或用大數(shù)排列 、 跳躍排列次序排列 ， 等等 。 所謂軟分段就是用扇區(qū)識別標(biāo)志來存取磁盤上的信息 ， 整個磁盤只有一索引孔 。因此，一個標(biāo)準(zhǔn)的扇區(qū)包括數(shù)據(jù)和一些必需的標(biāo)志、間隙，共有 512+12+4+2+4+11+42=587字節(jié)。 （ ３ ） 使扇區(qū)號取標(biāo)準(zhǔn)格式的取值范圍 （ l～ 9） 以外的值 。 計算機(jī)安全技術(shù) 軟件安全技術(shù) 按扇區(qū)間隙軟件指紋加密的一個實例（設(shè)被處理的扇區(qū)為第 40道 0面 1扇區(qū)）。 使用被加密程序時，先用在被加密程序中的一段特殊程序?qū)Υ疟P進(jìn)行檢查，如果發(fā)現(xiàn)某一（或某些）特定的磁道為未格式化磁道，則此盤為原盤，否則為非法拷貝盤?？梢栽O(shè)想，如果將一些關(guān)鍵數(shù)據(jù)放在內(nèi)圈的磁道上，比如放在 41道，由于標(biāo)準(zhǔn)的拷貝軟件只能拷貝 0～ 39道，因此可以起到軟盤防拷貝的目的。 修改扇區(qū) ID標(biāo)志實際上是修改磁道上最后一個扇區(qū)的ID標(biāo)志 ， 因為磁道上最后一個扇區(qū)與后臵區(qū)相連 。這種特殊的磁道給復(fù)制工作造成了困難，甚至有些特殊磁道完全不能復(fù)制。 ①破壞斷點中斷和單步中斷的向量 ②隱蔽轉(zhuǎn)移 ③多循環(huán)，多出口 ④設(shè)臵堆棧 計算機(jī)安全技術(shù) 軟件安全技術(shù) 軟件防拷貝技術(shù) 電磁加密技術(shù) 借助于專用的電磁機(jī)構(gòu)，在所需加密的磁盤上隨機(jī)生成一系列密鑰信息，以供被加密程序識別使用的一種加密技術(shù)。 即： 2A61： 0043 19DE SBB SI， BX 2A61： 0045 4B DEC BX 2A61： 0046 B332 MOV BL， 32