首页
论坛
课程
招聘
[原创]你所需要的对抗ollvm的知识都在这里
2022-4-22 10:27 11862

[原创]你所需要的对抗ollvm的知识都在这里

2022-4-22 10:27
11862

整理了一些ollvm对抗的文章,大家可以参考。
ollvm还原主要有静态分析的方法和动态分析的方法。无论哪种方法基本流程都是:找到所有基本块(特征匹配)-确定真实块之间的关联(静态的:符号执行/反编译器提供的IL的API;动态的:模拟执行/IDA trace)-patch原程序

基于符号执行

angr

利用符号执行去除控制流平坦化: https://security.tencent.com/index.php/blog/msg/112
利用angr符号执行去除虚假控制流: https://bbs.pediy.com/thread-266005.htm
TetCTF2022一道代码混淆题分析——crackme_pls: https://bbs.pediy.com/thread-271164.htm
Angr Control Flow Deobfuscation: https://research.openanalysis.net/angr/symbolic%20execution/deobfuscation/research/2022/03/26/angr_notes.html

miasm

Deobfuscation: recovering an OLLVM-protected program:
https://blog.quarkslab.com/deobfuscation-recovering-an-ollvm-protected-program.html
我印象中quarkslab这篇文章是最早的关于去ollvm混淆的文章,有点老了,不过还是值得学习。
MODeflattener - Miasm's OLLVM Deflattener: https://mrt4ntr4.github.io/MODeflattener/

基于反编译器提供的IL的API

IDA的microcode

https://github.com/RolfRolles/HexRaysDeob
https://github.com/idapython/pyhexraysdeob
相关文章:
https://hex-rays.com/blog/hex-rays-microcode-api-vs-obfuscating-compiler/
https://www.virusbulletin.com/uploads/pdf/conference_slides/2019/VB2019-Haruyama.pdf

binary ninja

Dissecting LLVM Obfuscator Part 1: https://rpis.ec/blog/dissection-llvm-obfuscator-p1/
使用Binary Ninja去除ollvm流程平坦混淆: https://bbs.pediy.com/thread-256299.htm

ghidra的p-code

使用Ghidra P-Code对OLLVM控制流平坦化进行反混淆: http://galaxylab.com.cn/%e4%bd%bf%e7%94%a8ghidra-p-code%e5%af%b9ollvm%e6%8e%a7%e5%88%b6%e6%b5%81%e5%b9%b3%e5%9d%a6%e5%8c%96%e8%bf%9b%e8%a1%8c%e5%8f%8d%e6%b7%b7%e6%b7%86/

基于模拟执行

基于Unicorn 的ARM64 OLLVM反混淆: https://bbs.pediy.com/thread-252321-1.htm
ARM64 OLLVM反混淆(续: https://bbs.pediy.com/thread-253533.htm
细说arm反类ollvm混淆-基本思想: https://bbs.pediy.com/thread-257878.htm
这篇文章介绍了模拟执行和IDA trace两种方法。

其他方法

这位是通过编译后端优化干掉混淆,这已经超过我的理解能力了...
一种通过后端编译优化脱混淆壳的方法: https://bbs.pediy.com/thread-260626-1.htm
一种通过后端编译优化脱虚拟机壳的方法: https://bbs.pediy.com/thread-266014.htm


看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

收藏
点赞8
打赏
分享
最新回复 (5)
雪    币: 4098
活跃值: 活跃值 (972)
能力值: ( LV8,RANK:129 )
在线值:
发帖
回帖
粉丝
yimingqpa 活跃值 1 2022-4-22 17:29
2
0
牛逼,牛逼。
雪    币: 767
活跃值: 活跃值 (835)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
huangjw 活跃值 2022-4-22 20:27
3
0
你不牛逼谁牛逼
雪    币: 85
活跃值: 活跃值 (119)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wodexinren 活跃值 2022-5-5 10:33
4
0
学习
雪    币: 0
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_zccmmjmn 活跃值 2022-5-6 10:59
5
0
还得是你
雪    币: 22
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
万里星河 活跃值 2022-5-7 13:31
6
0
必须是你
游客
登录 | 注册 方可回帖
返回