首页
论坛
专栏
课程

[原创]细说arm反类ollvm混淆-基本思想

2020-2-29 17:59 4925

[原创]细说arm反类ollvm混淆-基本思想

2020-2-29 17:59
4925

从最简单开始

先从一个简单的函数开始

int main (int argc, const char **argv) {
    int a = atoi(argv[1]);
    if (a > 5) {
        a = a+1;
        printf("a %d", a);
    }
    else {
        a *= 2;
        printf("a %d", a);
    }
    return 0;
}

直接正常编译,ida cfg如下

如果用ollvm加上fla(这里为了简单说明问题,只加fla,加了其他混淆并不改变反混淆的原理)

可以看到,加入了很多小块,而原来真正跟原程序相关的块,这里已经用浅蓝色标出,先来看看这样子直接F5的结果。

可以看到原来非常直接的顺序执行逻辑,现在变成非常不直观的平坦化逻辑,每一个真实逻辑执行完,无法直观地知道下一个真正要执行的地方是哪里。造成这种效果的罪魁祸首就是加上去的小块.


观察一下一个真实块的逻辑

这个块对应的是原程序a变量与5比较的逻辑,只不过做完a跟5的比较判断之后,将一个很大的数字mov到R0寄存器.


继续看看这个块的目的地loc_738所做的事情。

这个块做的事情只有一个,根据之前的真实块(loc_70E)mov到R0的结果,决定需要跳转到哪个块。中间可能经过其他白色块的中转,但是最终的结果肯定是另外一个真实块。 这类混淆的基本运行逻辑逻辑是[真实块]->[控制块(0到n个)]->[下一个真实块]->[控制块(0到n个)]->[下一个真实块].....


再去认真观察蓝色的真实块的特征,可以发现,所有真实块的输入,都与那些ollvm加入的分发控制块无关,比如,loc_70E的输入是var_20这个变量,与所有白色控制块所读写的寄存器无关。


基于上述观察可得,fla加入的所有白色控制块,与原程序的真实逻辑并没有任何关系,在混淆中只充当一个决定下一个真实块的分发控制作用,如果我们知道真实块的前后关系,可以把他们直接连接起来,跳过所有白色的控制块,我们的程序依然是正确的,程序的逻辑也变得直观多了


于是我们反混淆需要解决以下几个问题

  • 确定哪些是fla加入的分发控制块(下文简称为控制块),其他的就是程序的真实逻辑块(下文简称真实块),这里可能会有一个疑问,如果混淆还加了bcf之类的虚假块到里面,那怎么办?这里先留着这个问题,下文会解答。
  • 确定真实块的前后顺序与关系。
  • 将真实块用跳转(B,BNE等跳转指令)连接起来。

确定控制块

观察白色的块,其实特征非常明显,非常短(只有几条指令),仅仅只有寄存器的操作,而没有内存操作,最后都是cmp+跳转等等,这个不同厂商的混淆有细微的差别,但多数都特征非常明显,可以直接静态分析出来,在反混淆程序设计上,为了隔离这种差别引起的复杂性,可以用多态隔离掉就可以了。确定所有控制块后,直接用0清除这些块里面所有指令,免得干扰ida分析,因为修复成功后,所有真实块都不会经过这些控制块了。

确定真实块的前后关系

单从静态分析去确定真实块的关系非常浪费时间,这里可以采取两种方法

  • IDA动态调试,使用trace断点记录目标函数执行路径
  • 模拟执行目标函数,并记录执行路径

IDA调试记录指令方式

这种方法优点是借用成熟的调试工具,无需模拟环境,上手简单,缺点是如果程序有反调试,需要先将反调试干掉。这里需要借助一下idapython脚本。链接

脚本的原理非常简单,在待trace函数每一条指令都下一个断点,并将断点属性改为BPT_TRACE,这样断点不会停下来,但会触发原先设置好的回调函数,在回调函数中,可以将运行指令的地址等所有信息记录下来。最后得出含有这种内容一个trace文件。

(      libxxxx.so[0xCBD6A000])[82 AD       ]0x0001CA34:    ADD    R5, SP, #0X208    ;(SP=0x100FF248 )
(      libxxxx.so[0xCBD6A000])[E7 20       ]0x0001CA36:    MOVS    R0, #0XE7
(      libxxxx.so[0xCBD6A000])[F6 21       ]0x0001CA38:    MOVS    R1, #0XF6
(      libxxxx.so[0xCBD6A000])[F0 22       ]0x0001CA3A:    MOVS    R2, #0XF0
(      libxxxx.so[0xCBD6A000])[E0 70       ]0x0001CA3C:    STRB    R0, [R4, #3]    ;(R0=0x000000E7 R4=0x100FF550 )
(      libxxxx.so[0xCBD6A000])[21 71       ]0x0001CA3E:    STRB    R1, [R4, #4]    ;(R1=0x000000F6 R4=0x100FF550 )

模拟执行记录指令方式

利用模拟执行直接执行目标函数,也可以达到每条指令都记录下来的效果,优点是无视反调试(但也有可能遇到对抗),缺点是需要准备好模拟环境,实现一些系统调用以及java函数等等,操作比较麻烦,对于android环境的模拟,开源界已经存在一些优秀项目如AndroidNativeEmu,但由于该项目存在一些bug和一些未实现的系统调用,我拿来做了些改进参见这里


无论用那种方式,我们都可以得出一个记录所有执行指令的trace文件,有了这个文件我们就可以知道真实块的前后顺序了,方法如下

  • 取出一个真实块A中的指令,定位到在trace文件中的位置n。
  • 从n+1开始跟踪,如果经过控制块,则直接忽略跳过,直到跟踪到第一个真实块B的首条指令地址,
  • B就是A的下一个需要执行的真实块
上述方法只最简化的情况,实际上还有其他情况,比如一个真实块可能跳转到两个真实块(原程序条件跳转if)的情况,这些情况都可以通过分析trace文件来知道条件满足的时候跳到哪个真实块,不满足的时候跳到哪个真实块,这里不再一一描述。


根据动态运行的追踪来确定真实块的关系这种方法有一个缺陷,就是如果某些分支没有被执行,那么会被直接丢弃,所以这里并非100%还原,而只是还原了被执行的逻辑的关系。虽然并不完美,但总比分析那堆混淆得乱七八糟的程序要来得好多了,这里同时也解答了刚才提出的问题,如果存在bcf之类的加上去的虚假块怎么办,因为不会被执行,自然就被忽略了。

将真实块连接起来

知道了真实块之间的关系,就可以在块的最后patch上一些跳转指令将真实块连接起来,实际上,还有一些问题,比如哪些指令可以被patch,哪些不可以,比如,如果真实块最后是一条函数调用指令BL,这种具有逻辑意义的指令不能随便patch,还需要做一些分析。如果对这些细节感兴趣,后续会写一篇文章详细讲怎么patch。

写在最后

需要特别指出的是,这个方法不仅仅适用于ollvm,而是适用于类似逻辑的混淆(实测数量也不少,区别仅是识别控制块的逻辑有点改变而已),最后放上几张效果图


某视频app

after



某加固厂商的so


after





2020安全开发者峰会(2020 SDC)议题征集 中国.北京 7月!

最后于 2020-3-2 09:22 被my1988编辑 ,原因:
打赏 + 4.00
打赏次数 2 金额 + 4.00
 
赞赏  找合作伙伴   +2.00 2020/03/08 非常棒,方便的话,能否交流一下安卓模拟的问题,就是让安卓程序在pc上跑,不是那种装模拟器的方式 。
赞赏  上海刘一刀   +2.00 2020/03/01 写的蛮好 很有启发性 大佬方便的话 可以分享下样本和代码吗
最新回复 (40)
Breathleas 2020-2-29 20:06
2
0
大佬,牛逼
最后于 2020-2-29 20:11 被Breathleas编辑 ,原因:
GeneBlue 2 2020-2-29 22:12
3
0
给大佬打 call,大佬
上海刘一刀 2 2020-3-1 00:25
4
0
angelToms 1 2020-3-1 09:35
5
0
膜大佬
挤蹭菌衣 2020-3-1 10:26
6
0
膜拜大佬   mark一下 有空慢慢学习
Sinner_Dusk 2020-3-1 11:03
7
0
向大佬学习
my1988 1 2020-3-1 11:10
8
1
上海刘一刀
样本和代码在github上,有兴趣可以看看https://github.com/maiyao1988/deobf,代码还在改进当中。
最后于 2020-3-1 11:12 被my1988编辑 ,原因:
上海刘一刀 2 2020-3-1 19:49
9
0
my1988 上海刘一刀 膜 样本和代码在github上,有兴趣可以看看https://github.com/maiyao1988/deobf,代码还在改进当中。
多谢
alphc 2020-3-2 08:03
10
0
牛逼
bluth 2020-3-2 16:32
11
0
厉害
天荒怨未泯 2020-3-7 11:20
12
0
感谢大佬,git上好像少了个Application.py
my1988 1 2020-3-7 11:40
13
0
感谢提醒已fix,这些问题可以直接在git上提issue
freakish 1 2020-3-7 23:26
14
0
可以考虑符号执行来确定块的真实关系,直接执行确定关系可以是可以,就是恢复出来的代码只能包含特定参数场景的流程,跟原代码逻辑还是有比较大的差异

符合执行的方式,我自己测试的结果,恢复效果还是很好的,跟源码相似度很高
my1988 1 2020-3-8 09:33
15
0
freakish 可以考虑符号执行来确定块的真实关系,直接执行确定关系可以是可以,就是恢复出来的代码只能包含特定参数场景的流程,跟原代码逻辑还是有比较大的差异 符合执行的方式,我自己测试的结果,恢复效果还是很好的 ...
这个我曾经想过,但是还没实践过,有个疑问,直接符号执行如果复杂的话,会不会有路径爆炸?还有就是,符号执行那些bcf出来的块有好办法去掉吗?
找合作伙伴 2020-3-8 13:07
16
0
非常期待大佬 后续写一篇文章详细讲怎么patch的文章。努力期待中。。。
my1988 1 2020-3-8 16:05
17
0
找合作伙伴 非常期待大佬 后续写一篇文章详细讲怎么patch的文章。努力期待中。。。
呵呵,patch目前还不完善。需要多分析几个案例才能写出来。
playniuniu 2020-3-8 21:21
18
0
写得太好了,好好学习一下。另外能否问一下 ExAndroidNativeEmu 里面的 libcms.so 是哪个版本的 APK 里面的呢?
my1988 1 2020-3-8 23:04
19
0
playniuniu 写得太好了,好好学习一下。另外能否问一下 ExAndroidNativeEmu 里面的 libcms.so 是哪个版本的 APK 里面的呢?
这个我都无法确定,因为我是基于AndroidNativeEmu改进的,原项目就有的文件,我只是拿来做测试用例。
FraMeQ 2020-3-8 23:06
20
0
my1988 这个我曾经想过,但是还没实践过,有个疑问,直接符号执行如果复杂的话,会不会有路径爆炸?还有就是,符号执行那些bcf出来的块有好办法去掉吗?
我也写过反ollvm混淆的脚本,尝试用angr符号执行,angr文档太烂,坑太多就放弃了。
FraMeQ 2020-3-8 23:07
21
0
用无名侠那个用Unicorn实现的简单的分支遍历 还不错
FraMeQ 2020-3-8 23:12
22
0
my1988 呵呵,patch目前还不完善。需要多分析几个案例才能写出来。
deollvm64 之前写的,比较龊,各种拼凑,希望能有所帮助
最后于 2020-3-8 23:12 被FraMeQ编辑 ,原因:
my1988 1 2020-3-8 23:27
23
0
FraMeQ my1988 呵呵,patch目前还不完善。需要多分析几个案例才能写出来。 deollvm64 之前写的,比较龊,各种拼凑,希望能有所 ...
page not found
killpy 2 2020-3-9 06:02
24
0
你说的多态隔离是啥意思
最后于 2020-3-9 06:02 被killpy编辑 ,原因:
my1988 1 2020-3-9 07:39
25
0
killpy 你说的多态隔离是啥意思
控制块的特征不同厂商可能不同,将识别控制块的逻辑统一接口,然后针对特殊情况写特殊识别的逻辑
tDasm 2020-3-9 08:05
26
0
my1988 上海刘一刀 膜 样本和代码在github上,有兴趣可以看看https://github.com/maiyao1988/deobf,代码还在改进当中。
你那里有个elf-dump-fix不错,能不能提供编译好的文件下载?
FraMeQ 2020-3-9 10:03
27
0
my1988 page not found
不好意思,多打一个空格 deollvm64
Editor 2020-3-9 10:43
28
0
感谢分享!
my1988 1 2020-3-9 12:14
29
0
tDasm 你那里有个elf-dump-fix不错,能不能提供编译好的文件下载?
那个很容易编译啊,一个脚本执行一下就好了。具体上上面的说明就行了。遇到困难可以在上面提issue
freakish 1 2020-3-9 12:24
30
0
my1988 这个我曾经想过,但是还没实践过,有个疑问,直接符号执行如果复杂的话,会不会有路径爆炸?还有就是,符号执行那些bcf出来的块有好办法去掉吗?
路径爆炸有路径爆炸的解决方法
tDasm 2020-3-9 16:59
31
0
my1988 那个很容易编译啊,一个脚本执行一下就好了。具体上上面的说明就行了。遇到困难可以在上面提issue
因为没装编译器。再说如果不修改代码,没必要每个人都去编译一下。
@=llfly 2020-3-10 16:14
32
0
感谢分享!
jlcat 2020-3-13 15:10
33
0
my1988 page not found
https://github.com/GeT1t/deollvm64
注意观察下地址栏删掉符号就好了。当然访问这个链接也可以的
芃杉 2020-3-16 09:54
34
0
mark,好文
fqbqrr 2020-3-18 16:52
35
0
私有制,让简单变复杂.都是相互折腾.
leezn 2020-3-18 17:04
36
0
好高深,学习学习
U3D_Modder 2020-3-26 21:44
37
0
can you give me your QQ?
U3D_Modder 2020-3-26 21:45
38
0
@FraMeQ can you give me your QQ?
huuio 2020-3-27 11:28
39
0
大佬喝茶
年纪轻轻 4天前
40
0
厉害 先收藏了
0x指纹 20小时前
41
0
感谢分享
游客
登录 | 注册 方可回帖
返回