代码混淆之我见（一）

代码混淆之我见（三）

我们以 @Wszzy 在《自写保护壳交流——指令的膨胀和花指令的插入》一文中留下的CrackMe为例，简单介绍一下静态分析在解混淆中的应用。

要进行常量折叠优化，我们首先要分析出各指令上下文中各寄存器的来源，该过程称为定值分析。

定值分析过程如下。

1.基本块首指令所有寄存器的来源均初始化为-1

2.每条指令的来源向下传递

3.当某一指令写入某寄存器时，修改来源中某寄存器为该指令的行数

为了方便表达，我们约定一种描述指令上下文来源的表示方法。

{寄存器名1:来源指令行数1, ... , 寄存器名n:来源指令行数n}

以一段具体代码为例。

mov esi,2018 {esi:-1}
sub esi,50 {esi:0}
inc esi {esi:1}

使用反汇编引擎分析帝1行指令时，我们注意到它对寄存器esi进行了读写操作，且esi的值来源于第0行指令。进而分析第0行指令，可知esi是使用一个常数赋值的，于是我们可以断言在第1行指令上，esi的值是该常数。从而将代码化简为mov esi,1968/inc esi，这个化简过程又可以重复进行，直到不能再化简为止。

定值分析还可以用于基本块内的指令交换，类似于遗传代码变形中的易位突变。

void CodeObfs::CleanImm(std::vector<cs_insn*> &vIns) {
	if (vIns.empty())
		return;
	std::vector<ContextInfo> v;
	ContextInfo ct;
	for (int i = X86_REG_INVALID; i <= X86_REG_ENDING; i++)
		ct[i] = -1;
	v.push_back(ct);
	for (unsigned int i = 0; i < vIns.size() - 1; i++) {
		for (int x = 0; x < vIns[i]->detail->regs_write_count; x++)
			ct[vIns[i]->detail->regs_write[x]] = i;
		for (int x = 0; x < vIns[i]->detail->x86.op_count; x++) {
			if (vIns[i]->detail->x86.operands[x].type == X86_OP_REG && vIns[i]->detail->x86.operands[x].access & CS_AC_WRITE)
				ct[vIns[i]->detail->x86.operands[x].reg] = i;
		}
		v.push_back(ct);
	}
	//我偷懒了，忽略了一些问题
	/*
	这是我偷懒忽略掉的情况
	mov ax,2010
	mov dl,al
	*/
	std::vector<int> vReg;
	for (unsigned int i = 0; i < v.size(); i++) {
		if (!(vIns[i]->detail->x86.op_count != 0 && vIns[i]->detail->x86.operands[0].type == X86_OP_REG && vIns[i]->detail->x86.operands[0].access & CS_AC_WRITE))
			continue;
		if (vIns[i]->detail->x86.op_count != 1 && vIns[i]->detail->x86.operands[1].type != X86_OP_IMM)
			continue;
		int k = v[i][vIns[i]->detail->x86.operands[0].reg];
		if (k == -1 || vIns[k] == NULL)
			continue;
		if (strcmp(vIns[k]->mnemonic, "mov") || vIns[k]->detail->x86.operands[1].type != CS_OP_IMM)
			continue;
		DWORD dwImm1 = DWORD(vIns[k]->detail->x86.operands[1].imm);
		DWORD dwImm2 = DWORD(vIns[i]->detail->x86.operands[1].imm);
		if (!strcmp(vIns[i]->mnemonic, "ror")) {
			__asm {
				push ecx
				mov ecx,dwImm2
				ror dwImm1,cl
				pop ecx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "rol")) {
			__asm {
				push ecx
				mov ecx,dwImm2
				rol dwImm1,cl
				pop ecx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "add")) {
			__asm {
				push edx
				mov edx,dwImm2
				add dwImm1,edx
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "sub")) {
			__asm {
				push edx
				mov edx,dwImm2
				sub dwImm1,edx
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "xor")) {
			__asm {
				push edx
				mov edx,dwImm2
				xor dwImm1,edx
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "not")) {
			__asm {
				push edx
				mov edx,dwImm2
				not dwImm1
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "inc")) {
			__asm {
				push edx
				mov edx,dwImm2
				inc dwImm1
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "dec")) {
			__asm {
				push edx
				mov edx,dwImm2
				dec dwImm1
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "and")) {
			__asm {
				push edx
				mov edx,dwImm2
				and dwImm1,edx
				pop edx
			}
		}
		else if (!strcmp(vIns[i]->mnemonic, "or")) {
			__asm {
				push edx
				mov edx,dwImm2
				or dwImm1,edx
				pop edx
			}
		}
		else
			continue;
		char szIns[255];
		char szFmt[255] = {0};
		strcat_s(szFmt, sizeof(szFmt), "mov ");
		strcat_s(szFmt, sizeof(szFmt), cs_reg_name(_handle, vIns[k]->detail->x86.operands[0].reg));
		strcat_s(szFmt, sizeof(szFmt), ",0x%X");
		wsprintfA(szIns, szFmt, dwImm1);
		BYTE bCode[15];
		Asm(DWORD(vIns[k]->address), szIns, bCode);
		vIns[i] = NULL;
		cs_insn* insn;
		cs_disasm(_handle, bCode, 15, vIns[k]->address, 1, &insn);
		cs_free(vIns[k], 1);
		vIns[k] = insn;
	}
	return;
};

	CleanOPCode(); //去除花指令

	std::vector<DWORD> vAccess; //未访问的代码块的起始地址
	std::vector<cs_insn*> vIns; //块代码
	DWORD pIns = 0x423002;
	BYTE bCode[15] = {0};
	cs_insn* pDasm;
	while (true) {
		GetData(pIns, bCode, 15);
		cs_disasm(_handle, bCode, 15, pIns, 1, &pDasm);
		pIns += pDasm->size;
		vIns.push_back(pDasm);
		if (IsJxInsn(pDasm)) {
			unsigned int k;
			do {
				k = vIns.size();
				CleanNop(vIns);
				CleanImm(vIns);
				CleanNop(vIns);
				CleanPattern(vIns);
			} while (k != vIns.size());
			break;
		}
	}
	for (unsigned int i = 0; i < vIns.size(); i++)
		printf("%s %s \r\n", vIns[i]->mnemonic, vIns[i]->op_str);
	system("pause");
	return;

对比给出的原版CrackMe，去混淆结果较为可观。

发生了灵异事件，附件一直上传不成功，我发到百度网盘了。

链接: https://pan.baidu.com/s/1PHoMlbP47mg6DjY9T6rzhA 提取码: hhqu 

[培训]《安卓高级研修班(网课)》月薪三万计划，掌 握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法