记需要反混淆的函数为output=obf-function(input)。

反混淆的思路，首先标记输入的变量记为input-symbol，通过Taint跟踪改变量的流向，并提取与该输入变量input-symbol和输出变量output-symbol有关的所有表达式exprs。再将exprs转化为Arybo表达式，然后再将其转化为LLVM-IR指令的形式。最后使用llvm编译器-o3选项对llvm-ir指令做编译优化，生成可执行文件。

提取binary文件中PT_LOAD段，将其加载到模拟器内存中。

其中ctx = TritonContext()，用于获取一个Triton实例对象，用于动态分析。

对binary文件中的导入符号做hook处理（具体可以看makeRelocation()），确保模拟执行时能够正常执行所需的API函数，如:printf,memcpy,rand,strtoul等，即使用python语法来实现这些API函数。用于后面模拟器执行。

hookingHandler，从名字可以知道，这个函数用于处理之前被hook的函数。

###a 这里假设程序只有一条执行路径
即程序不会根据输入值input-symbol的不同而执行不同的分支。
则此时，全局变量paths[0]中得到与之相关的所有表达式。
使用下面代码，将所有表达式保存到文件中，其中pathNumber=0。

使用Arybo开源项目中tritonexprs2arybo()方法，将exprs中所所有表达式转化为arybo表达式；以及使用tritonast2arybo()获取输入变量input-symbol。
最后使用to_llvm_function将其转化为llvm-ir指令，再recompile将这些ir指令重新编译生成可执行文件。

流程如下：

流程如下，直接在代码里面解释，这代码里面假设程序只有两条可能的路径会走。

结果如图1，图2，图3所示。其中图1为原程序编译后使用ida打开看到的控制流程图；图2为使用相关混淆方法对源程序做混淆处理后编译生成的可执行文件，再使用ida打开看到的控制流程图；图3为使用本文方法对混淆后可执行文件做反混淆处理后得到的新的可执行文件，再使用ida打开看到的控制流程图。虽然反混淆后程序的控制流图跟原程序有所不同，但执行结果是一致的。

[图1] 原程序控制流程图

[图2] 混淆后程序控制流程图

[图3] 反混淆后程序控制流程图

我只是解读搬运工，有兴趣读者可以直接下载该开源项目，点击链接。
当然，该方法仍存在一定程度上的局限性，还无法做到通用。有什么问题可留言。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课