-
-
[原创]开源LLVM打碎控制流图和字符串加密
-
2019-6-8 23:22
-
下面介绍打碎控制流。
原理：
将llvm中的条件br指令替换成一个 call 和 indirectbr。这个 call返回的是跳转的目的地址。
处理前：
%7 = icmp eq i32 %6, 2 br i1 %7, label %8, label %13
处理后：
%8 = icmp eq i32 %7, 2 %9 = call i8* @brkcfg(i1 %8, i32 0) indirectbr i8* %9, [label %15, label %10]
用法：
-mllvm -brkcfg 使能打碎控制流
-mllvm -encstr 使能加密字符串
代码中使用以下注解来对指定函数开关打碎控制流
__attribute__((annotate("loveida")))
__attribute__((annotate("hateida")))
真值表：
hateida loveida default
default Y N N
brkcfg Y N Y
在目前的实现中，打碎控制流中的call并没有加密跳转表，因此对抗脚本分析效果不怎么好。等那天闲着无聊再弄吧。
代码较为简短，所以就直接发代码了。本来想发binary的，但是编译一次release太久太占硬盘，就不弄了。感兴趣的自己编译吧。使用的llvm版本是release/8.x。
效果：
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-6-8 23:28
被malokch编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
大佬大佬， 把固定的跳转改成运行时的，
|
|
|
|
|
|
|
|
|
不像，光的cfg不是这么干的 |
|
|
大致扫了一眼代码，最近没啥看LLVM代码的兴趣 乱七八糟的想法: - ``llvm.global_ctors``用于字符串加密可能不是什么好主意。光不这么干就是因为运行时一次性可以dump所有解密代码，基于特征识别可以nop掉相关的解密ctor，希望你的其他实现有对这部分的保护 - 你的breakcfg部分的思路有点意思，不过私有版的光大约半年之前做过类似的实现，利用一些基于上下文和控制流分析的小trick实现好的多效果，可以在这一块再想一下怎么做。这代码看的我有点头晕。 - void getAnalysisUsage(AnalysisUsage &AU) const override { AU.setPreservesAll(); } 这里不应该preserveall，因为你改了控制流原来的analysis pass肯定结果不说全部无效也是部分无效
最后于 2019-6-14 00:31
被naville编辑
，原因：
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
遇见真正的大佬了  。这东西的强度连我自己都嫌弃。符号执行或者动态捕抓还原起来很轻松。我的本意是想对抗静态分析的，但是后来觉得没有壳的话，起到的作用很有限。最后也就草草弄完发出来了。对于跳转表加密问题，我的本意是弄套动态加密算法，给每个点都生成独一无二的加密算法，因为放弃这套东西了，也就不弄了。llvm.global_ctors这处也是迫不得以在此做字符串解密，因为全局变量的初始化字符串必须首先解密。这代码质量我也没脸说了 ，因为llvm是现学现卖的，c++11特性也是现学的，搞到最好没兴趣了，也就草草完事了（射）。这个项目只是我学习llvm和另外一个最终目的的副产品，所以也没有和别的项目比较或替代谁的心思。
最后于 2019-6-14 10:35
被malokch编辑
，原因：
|
|
|
都是大哥们，我就是好奇问问，以前用过那个，看起来有点像，大佬们辛苦啦。 |
|
|
> 因为全局变量的初始化字符串必须首先解密 不太对，光的做法是分析全局变量的引用处然后原地插入解密代码。相关的也是以AGPLV3 ByteDance Employee Prohibited License开源的 |
|
|
没什么不对，就是我的办法比较省事罢了。主要原因是我只处理常量字符串，其他变量不处理。所以字符串出现在数组或结构中时，需要解密后回填，而同样的字符串只加密解密一次，却可能要填充到多个地方，而对其引用的顺序无法断定，所以只能对全局变量中的字符串集中在constructor中解密》。这也是因为每个字符串的算法都是独一的，如果每个引用都单独处理，空间开销太大了。当然这仍然能改进，但却不是五百行代码能搞定的了。这几百行代码也谈不上什么license，非要扯个license的话，应该是WTFPL2.0
最后于 2019-6-14 12:33
被malokch编辑
，原因：
|
|
|
光这边私有版的做法是提供了N套实现分别用于最小空间占用/最大保护/折中方案。 当然这样带来了无比复杂的源文件和维护成本 |
DeeLMind
malokch
