> Для винды тоже есть трейсеры, например api moninor, таких мониторов дофига и
> они могут показывать в том числе низкоуровневые апи.Угу. С высоты дивана это может быть и так. Ну, ту же скриптокидозную малварь (как впрочем оказалось -- и всяких громовержцев), конечно опознать довольно легко.
А вот когда нужна уверенность в отсутсвии всяких дополнительных "фичей", да еще и в более-менее крупной софтине ...
Это ведь придется разбирать ВСЕ. Даже имея код -- далеко не самое легкое занятие. Но вот построчный дизасм, дебаг и все остальные прелести вообще не идут ни в какое сравнение.
А ведь придется. Просто потому что эти самые апи могут вызаваться динамически (самое простое и используемое уже сто лет -- расшифровка перед вызовом, зашифровка после), или напрямки (парсим вручную таблицы ДЛЛ и прыгаем на тот адрес. Можно даже адрес + x (ибо вначале каждой фунции x-байтов НОПов -- как раз для возможных хуков этих самых трейсеров оставленно :) ) или косвенно как нибудь. Или вообще, использоваться комбинация, на первый взгляд, "левых АПИшек" для достижения результата.
Вот например -- записать свой код в другой процесс, можно очень даже без всяких WriteMemoryEx-ов.
А отдать данные через сеть -- вообще одним вызовом, причем без всяких сокетов и сетевых либ. А "огнестена" вам выдаст, что это "системное" обращение в сеть. По своим, системным делам. Не зря оно уже столько лет без особых проблем сквозь каспыря и оутпосты проходит :)
И да, все это чудо -- только при стечении нескольких факторов. Типа: четверга, полнолуния и дождичка (и, естественне, ежели все это дело выполняется не на ВМке).
А еще -- вы не поверите, сколько мусорных апи-вызовов будет в жирных рантаймах типа вижулбейсика и, тем более, НЕТа.
Поэтому-то такие "доказательства чистоты и незабэкдорености" -- выхлопом всяких трейсеров и проверкой запуском на ВМке обычно и вызывают лишь улыбку.
Не, ежели подозрительную софтину так уж нужно запустить -- ВМка самое то. Но утверждать, что оно мол "чистое, я на ВМке гонял да еще и трейсил -- и ничего!!"?
Так что -- только дебажить и разбирать построчно в асме. Только хардкор. Флаг вам в руки, барабан на шею, а мы уж как-нибудь обойдемся :)
