[分享]看雪3W班试题AntiOllvm去混淆

。_879907 这个是利用LLVM框架做的吗？曾经尝试过这个方法，没经过编译优化的还好，但是优化后实在是不知道怎么下手了！！！

retdec反编译加各种优化处理加llvm优化编译，肯定是能应对编译优化后的，不然就没意义了

[分享]看雪3W班试题AntiOllvm去混淆

海风月影 antiollvm.exe 在哪下载呢？ 广告？

目前还未提供下载，过几天后提供，可以关注我的github仓库，到时会放在上面

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 北辰制作 编译回二进制的目的是在于可以直接运行，生成二进制文件就可以用于其它工具分析，其实参数的识别我仔细分析过arm的参数，只要你传入的参数&a ...

这只是提供一个选项,通常自动分析参数可能会比实际的多,给用户一个指定参数的选项,便于在后期编译时更好的优化,当然不提供也是可以的,反正参数比实际多就能保证正确性

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 北辰制作 所以为了支持arm的neon指令我花了大量时间翻译，软件只要做到80%能解就行了，即使解不完全还能正确编译回去也可以 所以你手工把ll ...

是在翻译 arm neon 汇编指令时将其翻译为合法的 llvm ir，编译肯定的是用LLVM的后端，只是要自己处理符号重定位才能回填文件

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 还有个问题，我没用过ret2dec，IDA在转某些较大的函数时，生成的高级语言代码，我感觉是有点问题的，这个不知道是不是我哪里没用对，你的函数就直接优化它们生成的高级语言就不出错？我是完全不敢，只能在 ...

如果真有问题那也是IDA的问题，最主要保证翻译和优化正确，那么编译的结果自然正确，翻译的正确性需要详细的每条指令测试，优化的正确使用LLVM内部优化可以信任，其它如retdec的优化本身有许多bug，在非llvm内部优化尽量做到保守，保证其正确性。

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 不是的，体积大小的影响太大了，各种情况覆盖的情况复杂很多。比如，这里有个9K的函数看起来时不是挺复杂，但是实际上解起来很简单。这个26K的，看起来就一点点，实际上复杂很多:这个里面貌似有在做多媒体优化 ...

所以为了支持arm的neon指令我花了大量时间翻译，软件只要做到80%能解就行了，即使解不完全还能正确编译回去也可以

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 超大是多大？我这边现在最大时26K已经写回了，正在尝试32k的，以前的mem-phi实现的有问题，正在重写

你也在去混淆？找到一个50多k的，函数大小无所谓，关键是混淆的程度

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

baikaishiu 你这边内部测试过多少个函数可以写回了？最大测试的函数有多大？

我正在测一个超大函数，论坛上找的样本，且是魔改版的混淆，需要点时间，目前的版本使用正常的ollvm基本上没有问题可以完美还原

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

krash 看起来楼主实现了类似SATURN Software deobfuscation framework based on LLVM的反混淆框架， 自己使用还是很有价值的，但是要难商业化，我觉得还是有 ...

编译回二进制的目的是在于可以直接运行，生成二进制文件就可以用于其它工具分析，其实参数的识别我仔细分析过arm的参数，只要你传入的参数>=实际参数，那么多余的参数可以不用管，因为实际函数用不到，大于4个参数写入堆栈是在调用方堆栈上写入到sp正偏移，但是sp的值并没有改变，被调用函数方使用就读取没使用就不用读取，返回后sp还原，因此只要你保证参数大于等于实际参数就可以了。间接调用就把调用函数当作函数指针就行了，至于虚函数反编译后本质就只是偏移，只要保证翻译优化正确那么偏移就会正确，变参函数比如标准库这可以直接拿到函数签名。最后还有人工指定函数参数

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

挤蹭菌衣 大佬能不能放出优化的源码一起技术交流下 我看你这个图是纯去除有源码的平坦化的 还有能私聊一下这个反混淆值几个钱吗 我也想喝点汤 我这还有个还原vmp的半成品 最后 我没有模拟执行 那只是方便的叫法 ...

可以加群私聊

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

你可以加我群私聊,之所以放出有源码的那是不想惹上法律问题

[原创]AntiOllvm 去除二进制文件Ollvm混淆并编译回二进制文件

挤蹭菌衣 用retdec反编译的ir优化 去除ollvm应该是我先在论坛上发的吧 收费了???

你的帖子我也看过，但是我使用的方法跟你完全不一样，你用到了模拟执行，而我目前只是静态分析，不能说我使用retdec就是抄你的吧，样本我也公开了，你可以自己去试试你的方法效果怎样，反正我没试过。再说我添加了很多arm neon指令支持，还有修复各种Bug，回编译，这跟你那个完全没关系吧

FakeXposed最强屏蔽Xposed、Root检测，自定义maps、文件重定向等支持Android5~11
https://sanfengandroid.github.io/2021/01/10/modify-linker-to-implement-plt-hook/   fake-linker的实现原理，github上面也有链接