接触OLLVM也有好长一段时间了,但一直停留在应用层面,接下来一段时间打算从进一步研究OLLVM。俗话说柿子先挑软的捏,如果说OLLVM提供的几种混淆方式有辈分之分,那么虚假控制流(Bogus Control Flow)跟它的兄弟控制流平坦化(Control Flow Flattening)比起来就是弟中弟,我们就从去除OLLVM虚假控制流混淆开始吧!
GitHub仓库:bluesadi/debogus
0x00. 虚假控制流初探
虚假控制流混淆通过加入包含不透明谓词的条件跳转(也就是跳转与否在运行之前就已经确定的跳转,但IDA无法分析)和不可达的基本块,来干扰IDA的控制流分析和F5反汇编。
我们先用一个简单的例子来看看OLLVM虚假控制流混淆的效果:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 | int main(){
char name[ 100 ];
scanf( "%s" , name);
if (strcmp(name, "Alice" ) = = 0 ) {
printf( "hello, %s.\n" , name) ;
} else if (strcmp(name, "Bob" ) = = 0 ) {
printf ( "hello, %s\n" , name);
} else {
printf( "no permission.\n" ) ;
}
}
|
正常编译,在IDA中查看程序的CFG,还是比较清晰的:
![图片描述](upload/attach/202102/910514_TPPRE8C55T3YM5R.png)
加上-ollvm -bcf选项后编译,可以看到整个程序的流程图变得十分复杂:
![图片描述](upload/attach/202102/910514_YYY7MZR9G6X834Q.png)
F5反汇编可以看到程序多出了一些莫名其妙的跳转和循环:
![图片描述](upload/attach/202102/910514_NY7VRENF9B3F8U6.png)
这些跳转中的x和y位于.bss段,并且通过交叉引用发现没有被修改过,也就是说x和y在运行过程中一直为0。这里的x和y被称为不透明谓词,所谓不透明,就是IDA难以推断其在运行时的值,但我们都知道它就是0:
![图片描述](upload/attach/202102/910514_8RUCJSBC7RF5EXS.png)
在图中y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0是一个恒为false的条件,而y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0是一个恒为true的条件。
因此下图中用框起来的代码块永远不会被执行,那些永远不会执行到的代码块,就叫做不可达的基本块:
![图片描述](upload/attach/202102/910514_GS7G3W23Z4JYN9J.png)
这些跳转和不可达基本块并不会影响程序原有的逻辑,但会干扰我们的分析,这就是虚假控制流混淆达到的效果。
0x01. 利用angr符号执行去除不可达的基本块
利用符号执行去混淆的基本思路是:先找到目标函数的所有基本块,再通过符号执行遍历目标函数所有可达的基本块,剩下的就是不可达的基本块。把不可达的基本块全部nop掉,就能使IDA的F5反汇编正常分析。
![图片描述](upload/attach/202102/910514_TQ23TFVY7DG6KD4.png)
首先加载我们需要的参数,比如文件名,目标函数的起始地址:
1 2 3 4 5 6 7 8 9 10 11 12 13 | import argparse
parser = argparse.ArgumentParser()
parser.add_argument( '-f' , '--file' , help = 'The path of binary file to deobfuscate' )
parser.add_argument( '-s' , '--start' , help = 'Start address of target function' )
parser.add_argument( '-e' , '--end' , help = 'End address of target function' )
args = parser.parse_args()
if args. file = = None or args.start = = None or args.end = = None :
parser.print_help()
exit( 0 )
filename = args. file
start_address = int (args.start, 16 )
end_address = int (args.end, 16 )
|
angr加载二进制文件:
1 2 3 | import angr
proj = angr.Project(filename, load_options = { 'auto_load_libs' : False })
|
获取目标函数的函数的所有基本块:
1 2 3 4 5 6 | target_blocks = set ()
cfg = proj.analyses.CFGFast()
cfg = cfg.functions.get(start_address).transition_graph
for node in cfg.nodes():
if node.addr > = start_address and node.addr < = end_address:
target_blocks.add(node)
|
cfg是Control Flow Graph的缩写。注意cfg.nodes()中除了会包含函数本身的基本块之外,还会包含函数里调用的其他函数的基本块,所以这里用一个node.addr >= start_address and node.addr <= end_address把函数中调用的其他函数的基本块筛掉。
Hook掉目标函数中调用的所有其他函数:
1 2 3 4 5 | function_size = end_address - start_address + 1
target_block = proj.factory.block(start_address,function_size)
for ins in target_block.capstone.insns:
if ins.mnemonic = = 'call' :
proj.hook( int (ins.op_str, 16 ), angr.SIM_PROCEDURES[ "stubs" ][ "ReturnUnconstrained" ](), replace = True )
|
angr.SIM_PROCEDURES["stubs"]["ReturnUnconstrained"]()是ReturnUnconstrained类的一个实例,在符号执行过程中它会返回一个无约束的符号,简单来说就是一个可以返回任何值的函数。
![图片描述](upload/attach/202102/910514_G8DR9DYES68SS5A.png)
为什么要这样Hook,原因是在符号执行一些静态链接的文件时,angr的符号执行模拟器会陷入到复杂的库函数中,导致跑的时间非常长或者根本跑不出来,这也是我把基本块的分析范围限制在目标函数内的原因。
在我研究过程中发现的另一个脚本:cq674350529/deflat显然就没有处理这个问题。
然后是符号执行的过程:
1 2 3 4 5 6 7 8 | control_flow = set ()
state = proj.factory.blank_state(addr = start_address, remove_options = {angr.sim_options.LAZY_SOLVES})
simgr = proj.factory.simulation_manager(state)
control_flow.add(state.addr)
while len (simgr.active) > 0 :
for active in simgr.active:
control_flow.add(active.addr)
simgr.step()
|
从目标函数开始,simgr.step()逐块执行,一直到没有active状态为止(可以认为是运行结束)。
step的过程有点像BFS的过程,每碰到一个跳转就会分裂出两个新的active状态(前提是两个状态都是可达的)。
一边符号执行一边将符号执行能遍历到的所以基本块的地址保存到control_flow中。
最后nop掉没有被执行到的基本块:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 | base_address = proj.loader.main_object.mapped_base
handled_blocks = set ()
patched_addrs = []
with open (filename, 'rb' ) as inp:
data = bytearray(inp.read())
for block in target_blocks:
if block.addr in handled_blocks:
continue
handled_blocks.add(block.addr)
if block.addr in control_flow:
for child in cfg.successors(block):
if child.addr < start_address or child.addr > end_address:
continue
if child.addr not in control_flow:
handled_blocks.add(child.addr)
patched_addrs.append( hex (child.addr))
write_nops(data, child.addr - base_address, child.size)
else :
write_nops(data, block.addr - base_address, block.size)
|
最后将去混淆的结果保存到另一个文件中
1 2 3 4 5 6 | name, suffix = split_suffix(filename)
outpath = name + '_recovered' + suffix
with open (outpath, 'wb' ) as out:
out.write(data)
print (f 'Patched {len(patched_addrs)} unreachable blocks: {patched_addrs}' )
print (f 'Recovered file is saved to: {outpath}' )
|
0x02. 去混淆效果分析
这里我们直接用BUUCTF上的一道题测试:[XMAN2018排位赛]Dragon Quest
可以看到很明显是虚假控制流混淆:
![图片描述](upload/attach/202102/910514_SKX2RF8FQECZFSX.png)
![图片描述](upload/attach/202102/910514_VXQYE7DVKKJ3BQR.png)
运行我们的脚本去混淆:
![图片描述](upload/attach/202102/910514_UHWZZBBDFXN923B.png)
查看去混淆后的文件,可以看到去混淆的效果还不错:
![图片描述](upload/attach/202102/910514_WGAMDTD2JGRHSKC.png)
我们再测试一个更变态的文件(感谢Rimao大佬提供)。
它的流程图是这样的:
![图片描述](upload/attach/202102/910514_66PPW3PARV9BMT8.png)
伪代码有近2000行,混淆方式是Rimao大佬魔改的虚假控制流:
![图片描述](upload/attach/202102/910514_N9KAVK6Z5Q5S6JT.png)
运行去混淆脚本:
![图片描述](upload/attach/202102/910514_83EZWQUD3D83JTY.png)
IDA查看效果,发现没去干净:
![图片描述](upload/attach/202102/910514_PYVFKDQ7B8VDWKQ.png)
并且运行也出错了:
![图片描述](upload/attach/202102/910514_V3N3XFUWSEFTNA2.png)
理论上来说只要弄清混淆原理就有办法改进,不过要过年了嘛,就暂时不研究了hh
0x03. 另一种方法:去除不透明谓词
把所有不透明谓词改为0也能使IDA的F5反汇编恢复正常,用idapython脚本就能实现,因为不是文章的重点就简单贴一下代码好了233:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 | import ida_xref
import ida_idaapi
from ida_bytes import get_bytes, patch_bytes
def do_patch(ea):
if get_bytes(ea, 1 ) = = b "\x8B" :
reg = ( ord (get_bytes(ea + 1 , 1 )) & 0b00111000 ) >> 3
patch_bytes(ea, ( 0xB8 + reg).to_bytes( 1 , 'little' ) + b '\x00\x00\x00\x00\x90' )
else :
print ( 'error' )
start = 0x00428298
end = 0x00428384
for addr in range (start,end, 4 ):
ref = ida_xref.get_first_dref_to(addr)
print ( hex (addr).center( 20 , '-' ))
while (ref ! = ida_idaapi.BADADDR):
do_patch(ref)
print ( 'patch at ' + hex (ref))
ref = ida_xref.get_next_dref_to(addr, ref)
print ( '-' * 20 )
|
这种方法的优点是脚本写起来简单,也不用考虑静态链接还是动态链接的问题,缺点是面对虚假控制流的变体可能无能为力。
0x04. 一些改进的想法
在上面的脚本中为了防止angr陷到库函数里面,我把符号执行的范围限定在了目标函数内。这样的缺陷是如果有多个函数被混淆了,就要运行很多次脚本。可以加入一个深度参数--depth,距离目标函数的调用深度不超过depth的函数都会被去混淆,这是一个改进方案,不过感觉代码量很大就没实现了呜呜。
另一个可以改进的地方是在去掉不可达的基本块之后,还可以顺便把跳转到这个基本块的jnz指令改成jmp指令,可能对以后要研究的去除虚假控制流变体有帮助。
0x05. 之后的打算
我对angr的研究也不是特别深入,因此这个去混淆脚本也许不能适用于所有情况(比如上面那个魔改虚假控制流),不过应对OLLVM的虚假控制流混淆应该没有问题。Rimao师傅还提出了一个“怎么区分虚假控制流还是输入导致的分支”问题,欢迎大家讨论吧233。
过完年之后打算研究基于LLVM的混淆了,angr也会继续学习,届时还会推出一些相关的文章,欢迎大家交流学习!
0x06. 参考
[培训]二进制漏洞攻防(第3期);满10人开班;模糊测试与工具使用二次开发;网络协议漏洞挖掘;Linux内核漏洞挖掘与利用;AOSP漏洞挖掘与利用;代码审计。
最后于 2021-2-11 07:02
被34r7hm4n编辑
,原因: