Здравствуйте, kerenskyaf!

Ну раз Вы занялись анализом и хотите понять что к чему. Скачайте IDA Pro, сейчас 7.х. Но показывать я буду на 4.х

Теперь исследуем этот файл prog10o.com в отладчиках (AFD, Code View, Turbo Debugger, Debug).

Перед тем, как, что-то иследовать, будем иследовать то, что в скобках, а именно:

AFD, Code View, Turbo Debugger, Debug

Возмем к примеру 3-и из 4-х(названия видны в заголовках):


Как видно стартовый код почти аналогичен(за исключения нескольких байтов), четвертый проверять будем?
Везде есть команда rep movsb. Что она делает, она копирует таблицу векторов, чтобы потом показать Вам то, что Вы хотите видеть.
Поверите или проверите.

Ещё обратите внимание, что в аналогичных командах название переменных(по сути это размер перменной и её адрес в сегменте, ну так IDA это интерпретирует) отличаются - это говорит, что в коде они находятся в разных местах.
Точно так-же если в разных кодах, две подпрограммы поменять местами перед компиляцией, то адреса вызова их изменятся.
Поверите или порверите.

Теперь самое интересное: старые вектора можно получить с помощью int 21 | 35h, вот его и будем искать.
Установив маркер поиска в начало листинга, Вы найдете много адресов типа хх35 или х35х, много байт данных ввиде строк, но интерес представляют последовательности

B8 xx 35 CD 21
Записываем, чем интересуется отладчик.

После этого такой поиск проводим с 25, обращая внимание на последовательность байт, аналогичным командам:
[code lang=asm]mov ax,25xxh
xxx xxx
int 21h[/code]
Записав эти номера Вы будете знать, что перхватывает и обрабатывает отладчик, а также адреса тех самых обработчиков, их код

90 90 E8 E0 00 2E FF 2E 48 10 90 90 E8 D0 00 2E

или

9C 2E FF 1E 3E 00 50 55 9C FA 2E 80 3E 42 00 00

Думаю, что совпадения Вы найдете.


Отладчики не смотря на свою одинаковую цель, написаны по разному, используют разные методы отладки, прячут себя от программ разному, при этом позволяя иследовать себя или нет.

Если Вы пошагам зайдете в прерывание, Вы попадете в сегмент Fxxx. В префиксе программы указан альтернативный вызов функций ДОС(он предназначен для совместимости с СР/М) который также как и 00A7:107C, является надстройкой над самими функциями ДОС, пройдя обоими путями Вы попадете в нужную функцию.

Удачи!