[原创]利用angr符号执行去除虚假控制流-逆向工程-看雪安全社区

接触OLLVM也有好长一段时间了，但一直停留在应用层面，接下来一段时间打算从进一步研究OLLVM。俗话说柿子先挑软的捏，如果说OLLVM提供的几种混淆方式有辈分之分，那么**虚假控制流（Bogus Control Flow）**跟它的兄弟**控制流平坦化（Control Flow Flattening）**比起来就是弟中弟，我们就从去除OLLVM虚假控制流混淆开始吧！

GitHub仓库：<a href="elink@252K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1L8s2g2W2M7$3q4V1K9g2)9J5c8X3c8W2j5X3!0Y4N6i4x3`.">bluesadi/debogus</a>

# 0x00. 虚假控制流初探
虚假控制流混淆通过加入包含**不透明谓词**的条件跳转（也就是跳转与否在运行之前就已经确定的跳转，但IDA无法分析）和**不可达的基本块**，来干扰IDA的控制流分析和F5反汇编。
我们先用一个简单的例子来看看OLLVM虚假控制流混淆的效果：
```
#include <stdio.h>
#include <string.h>

int main(){
    char name[100];
    scanf("%s", name);
    if (strcmp(name, "Alice") == 0) {
        printf("hello, %s.\n", name) ;
    } else if (strcmp(name, "Bob") == 0) {
        printf ("hello, %s\n", name);
    } else {
        printf("no permission.\n") ;
    }
}
```
正常编译，在IDA中查看程序的CFG，还是比较清晰的：
 ![图片描述](upload/attach/202102/910514_TPPRE8C55T3YM5R.png)
加上**-ollvm -bcf**选项后编译，可以看到整个程序的流程图变得十分复杂：
 ![图片描述](upload/attach/202102/910514_YYY7MZR9G6X834Q.png)
F5反汇编可以看到程序多出了一些莫名其妙的跳转和循环：
 ![图片描述](upload/attach/202102/910514_NY7VRENF9B3F8U6.png)
这些跳转中的**x**和**y**位于**.bss段**，并且通过交叉引用发现没有被修改过，也就是说x和y在运行过程中一直为**0**。这里的**x**和**y**被称为**不透明谓词**，所谓不透明，就是IDA难以推断其在运行时的值，但我们都知道它就是0：
 ![图片描述](upload/attach/202102/910514_8RUCJSBC7RF5EXS.png)

在图中**y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0**是一个恒为false的条件，而**y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0**是一个恒为true的条件。
因此下图中用框起来的代码块永远不会被执行，那些永远不会执行到的代码块，就叫做**不可达的基本块**：
 ![图片描述](upload/attach/202102/910514_GS7G3W23Z4JYN9J.png)
这些跳转和不可达基本块并不会影响程序原有的逻辑，但会干扰我们的分析，这就是虚假控制流混淆达到的效果。

# 0x01. 利用angr符号执行去除不可达的基本块
利用符号执行去混淆的基本思路是：先找到目标函数的所有基本块，再通过符号执行遍历目标函数所有可达的基本块，剩下的就是不可达的基本块。把不可达的基本块全部nop掉，就能使IDA的F5反汇编正常分析。
 ![图片描述](upload/attach/202102/910514_TQ23TFVY7DG6KD4.png)
首先加载我们需要的参数，比如文件名，目标函数的起始地址：
```
import argparse

parser = argparse.ArgumentParser()
parser.add_argument('-f','--file', help='The path of binary file to deobfuscate')
parser.add_argument('-s','--start', help='Start address of target function')
parser.add_argument('-e','--end', help='End address of target function')
args = parser.parse_args()
if args.file == None or args.start == None or args.end == None:
    parser.print_help()
    exit(0)
filename = args.file
start_address = int(args.start, 16)
end_address = int(args.end, 16)
```
angr加载二进制文件：
```
import angr

proj = angr.Project(filename, load_options={'auto_load_libs': False})
```
获取目标函数的函数的所有基本块：
```
target_blocks = set()
cfg = proj.analyses.CFGFast()
cfg = cfg.functions.get(start_address).transition_graph
for node in cfg.nodes():
    if node.addr >= start_address and node.addr <= end_address:
        target_blocks.add(node)
```
cfg是Control Flow Graph的缩写。注意**cfg.nodes()**中除了会包含函数本身的基本块之外，还会包含函数里调用的其他函数的基本块，所以这里用一个**node.addr >= start_address and node.addr <= end_address**把函数中调用的其他函数的基本块筛掉。

Hook掉目标函数中调用的所有其他函数：
```
function_size = end_address - start_address + 1
target_block = proj.factory.block(start_address,function_size)
    for ins in target_block.capstone.insns:
        if ins.mnemonic == 'call':
            proj.hook(int(ins.op_str, 16), angr.SIM_PROCEDURES["stubs"]["ReturnUnconstrained"](), replace=True)
```
angr.SIM_PROCEDURES["stubs"]\["ReturnUnconstrained"\]()是**ReturnUnconstrained**类的一个实例，在符号执行过程中它会返回一个无约束的符号，简单来说就是一个可以返回任何值的函数。
 ![图片描述](upload/attach/202102/910514_G8DR9DYES68SS5A.png)
为什么要这样Hook，原因是在符号执行一些**静态链接**的文件时，angr的符号执行模拟器会陷入到复杂的库函数中，导致跑的时间非常长或者根本跑不出来，这也是我把基本块的分析范围限制在目标函数内的原因。
在我研究过程中发现的另一个脚本：<a href="elink@e18K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0M7e0j5%4y4o6x3#2x3o6f1J5z5g2)9J5c8X3c8W2k6X3I4S2N6q4)9J5c8X3u0D9L8$3u0Q4x3V1k6E0j5i4y4@1k6i4u0Q4x3V1k6T1L8$3N6#2M7#2)9#2k6X3y4G2L8Y4c8J5L8$3I4Q4y4h3k6X3L8r3!0%4i4K6u0r3k6r3g2T1L8$3N6#2M7#2)9J5k6i4m8&6">cq674350529/deflat</a>显然就没有处理这个问题。

然后是符号执行的过程：
```
control_flow = set()
state = proj.factory.blank_state(addr=start_address, remove_options={angr.sim_options.LAZY_SOLVES})
simgr = proj.factory.simulation_manager(state)
control_flow.add(state.addr)
while len(simgr.active) > 0:
    for active in simgr.active:
        control_flow.add(active.addr)
        simgr.step()
```
从目标函数开始，**simgr.step()**逐块执行，一直到没有**active**状态为止（可以认为是运行结束）。
step的过程有点像BFS的过程，每碰到一个跳转就会分裂出两个新的active状态（前提是两个状态都是可达的）。
一边符号执行一边将符号执行能遍历到的所以基本块的地址保存到**control_flow**中。

最后nop掉没有被执行到的基本块：
```
base_address = proj.loader.main_object.mapped_base
handled_blocks = set()
patched_addrs = []
with open(filename, 'rb') as inp:
    data = bytearray(inp.read())
for block in target_blocks:
    if block.addr in handled_blocks:
        continue
    handled_blocks.add(block.addr)
    if block.addr in control_flow:
        for child in cfg.successors(block):
            if child.addr < start_address or child.addr > end_address:
                continue
            if child.addr not in control_flow:
                handled_blocks.add(child.addr)
                patched_addrs.append(hex(child.addr))
                write_nops(data, child.addr - base_address, child.size)
            else:
                write_nops(data, block.addr - base_address, block.size)
```
最后将去混淆的结果保存到另一个文件中
```
name, suffix = split_suffix(filename)
outpath = name + '_recovered' + suffix
with open(outpath,'wb') as out:
    out.write(data)
print(f'Patched {len(patched_addrs)} unreachable blocks: {patched_addrs}')
print(f'Recovered file is saved to: {outpath}')
```

# 0x02. 去混淆效果分析
这里我们直接用BUUCTF上的一道题测试：[[XMAN2018排位赛]Dragon Quest](<mark class="encrypted">9f3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1N6i4g2G2K9W2)9J5k6h3y4F1i4K6u0r3j5$3S2S2L8r3I4W2L8X3N6W2M7#2)9J5x3#2)9#2b7W2S2y4b7f1^5J5x3o6p5^5i4K6t1#2c8e0k6Q4x3U0f1^5c8g2)9J5y4e0V1J5i4K6t1#2c8e0c8Q4x3U0g2n7c8q4)9J5y4e0S2p5i4K6t1#2c8e0S2Q4x3U0g2n7y4g2)9J5y4e0W2n7i4K6g2p5c8s2u0S2k6$3!0F1i4K6t1#2x3U0m8c8N6h3g2K6N6q4)9J5z5b7`.`.</mark>
可以看到很明显是虚假控制流混淆：
 ![图片描述](upload/attach/202102/910514_SKX2RF8FQECZFSX.png)
 ![图片描述](upload/attach/202102/910514_VXQYE7DVKKJ3BQR.png)
运行我们的脚本去混淆：
 ![图片描述](upload/attach/202102/910514_UHWZZBBDFXN923B.png)
查看去混淆后的文件，可以看到去混淆的效果还不错：
 ![图片描述](upload/attach/202102/910514_WGAMDTD2JGRHSKC.png)
我们再测试一个更变态的文件（感谢Rimao大佬提供）。
它的流程图是这样的：
 ![图片描述](upload/attach/202102/910514_66PPW3PARV9BMT8.png)
伪代码有近2000行，混淆方式是Rimao大佬魔改的虚假控制流：
 ![图片描述](upload/attach/202102/910514_N9KAVK6Z5Q5S6JT.png)
运行去混淆脚本：
 ![图片描述](upload/attach/202102/910514_83EZWQUD3D83JTY.png)
IDA查看效果，发现没去干净：
 ![图片描述](upload/attach/202102/910514_PYVFKDQ7B8VDWKQ.png)
并且运行也出错了：
 ![图片描述](upload/attach/202102/910514_V3N3XFUWSEFTNA2.png)
理论上来说只要弄清混淆原理就有办法改进，不过要过年了嘛，就暂时不研究了hh

# 0x03. 另一种方法：去除不透明谓词
把所有不透明谓词改为0也能使IDA的F5反汇编恢复正常，用idapython脚本就能实现，因为不是文章的重点就简单贴一下代码好了233：
```
# 去除虚假控制流 idapython脚本
import ida_xref
import ida_idaapi
from ida_bytes import get_bytes, patch_bytes

# 将 mov 寄存器, 不透明谓词 修改为 mov 寄存器, 0
def do_patch(ea):
    if get_bytes(ea, 1) == b"\x8B": # mov eax-edi, dword
        reg = (ord(get_bytes(ea + 1, 1)) & 0b00111000) >> 3
        patch_bytes(ea, (0xB8 + reg).to_bytes(1,'little') + b'\x00\x00\x00\x00\x90')
    else:
        print('error')

# 不透明谓词在.bss段的范围
start = 0x00428298
end = 0x00428384

for addr in range(start,end,4):
    ref = ida_xref.get_first_dref_to(addr)
    print(hex(addr).center(20,'-'))
    # 获取所有交叉引用
    while(ref != ida_idaapi.BADADDR):
        do_patch(ref)
        print('patch at ' + hex(ref))
        ref = ida_xref.get_next_dref_to(addr, ref)
    print('-' * 20) 
```
这种方法的优点是脚本写起来简单，也不用考虑静态链接还是动态链接的问题，缺点是面对虚假控制流的变体可能无能为力。

# 0x04. 一些改进的想法
在上面的脚本中为了防止angr陷到库函数里面，我把符号执行的范围限定在了目标函数内。这样的缺陷是如果有多个函数被混淆了，就要运行很多次脚本。可以加入一个深度参数**--depth**，距离目标函数的调用深度不超过depth的函数都会被去混淆，这是一个改进方案，不过感觉代码量很大就没实现了呜呜。

另一个可以改进的地方是在去掉不可达的基本块之后，还可以顺便把跳转到这个基本块的**jnz**指令改成**jmp**指令，可能对以后要研究的去除虚假控制流变体有帮助。

# 0x05. 之后的打算
我对angr的研究也不是特别深入，因此这个去混淆脚本也许不能适用于所有情况（比如上面那个魔改虚假控制流），不过应对OLLVM的虚假控制流混淆应该没有问题。Rimao师傅还提出了一个“怎么区分虚假控制流还是输入导致的分支”问题，欢迎大家讨论吧233。
过完年之后打算研究基于LLVM的混淆了，angr也会继续学习，届时还会推出一些相关的文章，欢迎大家交流学习！

# 0x06. 参考
- <a href="elink@785K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6G2j5X3k6#2M7$3y4S2N6r3!0J5i4K6u0V1L8r3I4$3L8g2)9J5c8X3!0T1k6Y4g2K6j5$3q4@1L8%4u0Q4x3V1k6%4K9h3E0A6i4K6u0r3b7X3!0Y4N6i4y4Q4x3X3c8o6L8$3&6@1M7X3!0D9i4K6u0V1c8X3I4G2N6H3`.`.">obfuscator-llvm/obfuscator</a>
- <a href="elink@578K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8X3N6J5i4K6u0r3j5h3&6Y4M7R3`.`.">angr/angr</a>
- <a href="elink@16bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0M7e0j5%4y4o6x3#2x3o6f1J5z5g2)9J5c8X3c8W2k6X3I4S2N6l9`.`.">cq674350529/deflat</a>
- <a href="elink@596K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8$3y4K6i4K6u0W2j5h3&6Y4M7W2)9J5k6h3W2G2i4K6u0r3">angr Documentation</a>
- <a href="elink@7a3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7&6z5e0f1#2y4K6N6Q4x3X3b7I4i4K6u0V1x3g2)9J5k6h3S2@1L8h3H3`.">基于Miasm符号执行移除OLLVM虚假控制流</a>

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2021-2-11 07:02 被34r7hm4n编辑，原因：

#软件保护

最新回复 (17)
breaklink 雪币： 10204 活跃值： (6242) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 50 粉丝 2 关注私信	breaklink 2 楼好奇这是什么插件还能识别stl模板忘了可能是debug版最后于 2021-2-12 10:11 被breaklink编辑，原因： 2021-2-10 18:57 0
34r7hm4n 雪币： 14379 活跃值： (10932) 能力值： ( LV12，RANK：360 ) 在线值：发帖 19 回帖 54 粉丝 411 关注私信	34r7hm4n 7 3 楼 breaklink 好奇这是什么插件还能识别stl模板 IDA 7.5 2021-2-10 19:13 0
v0id_ 雪币： 8659 活跃值： (5436) 能力值： ( LV4，RANK：45 ) 在线值：发帖 7 回帖 243 粉丝 36 关注私信	v0id_ 4 楼 mark 2021-2-11 11:05 0
lookzo 雪币： 216 活跃值： (3517) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 610 粉丝 3 关注私信	lookzo 5 楼写到非常通俗易懂，容易采坑的地方都说了，很好的文章，可以加精了 2021-2-18 13:41 0
34r7hm4n 雪币： 14379 活跃值： (10932) 能力值： ( LV12，RANK：360 ) 在线值：发帖 19 回帖 54 粉丝 411 关注私信	34r7hm4n 7 6 楼 lookzo 写到非常通俗易懂，容易采坑的地方都说了，很好的文章，可以加精了谢谢 2021-2-18 14:38 0
YenKoc 雪币： 2692 活跃值： (6010) 能力值： ( LV10，RANK：177 ) 在线值：发帖 6 回帖 71 粉丝 68 关注私信	YenKoc 2 7 楼 mark了，感谢师傅分享 2021-2-19 11:15 0
eastmaster 雪币： 614 活跃值： (1263) 能力值： ( LV3，RANK：30 ) 在线值：发帖 11 回帖 164 粉丝 3 关注私信	eastmaster 8 楼不错！点赞！ 2021-3-1 19:20 0
N1ptune 雪币： 1418 活跃值： (3264) 能力值： ( LV5，RANK：74 ) 在线值：发帖 5 回帖 21 粉丝 7 关注私信	N1ptune 9 楼感谢师傅分享了，帮助很大 2021-3-25 16:02 0
mb_qpogapbl 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_qpogapbl 10 楼请问最后遇到的问题解决了吗 2021-4-26 22:27 0
mb_qpogapbl 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_qpogapbl 11 楼请问如果是arm架构代码应该修改哪里 2021-4-27 10:04 0
tlsn 雪币： 202 活跃值： (2367) 能力值： ( LV5，RANK：61 ) 在线值：发帖 2 回帖 21 粉丝 7 关注私信	tlsn 12 楼 mark 2022-9-6 11:22 0
t0hka1 雪币： 633 活跃值： (3081) 能力值： ( LV4，RANK：45 ) 在线值：发帖 1 回帖 21 粉丝 6 关注私信	t0hka1 1 13 楼 mark 2022-9-8 11:21 0
Gift1a 雪币： 177 活跃值： (3129) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 12 粉丝 9 关注私信	Gift1a 14 楼 . 最后于 2023-5-21 19:39 被Gift1a编辑，原因： 2022-10-25 08:10 0
Gift1a 雪币： 177 活跃值： (3129) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 12 粉丝 9 关注私信	Gift1a 15 楼 0 最后于 2023-5-21 19:38 被Gift1a编辑，原因： 2022-10-25 08:11 0
Circ1e 雪币： 187 活跃值： (2723) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 58 粉丝 2 关注私信	Circ1e 16 楼牛逼 2023-12-5 16:18 0
墨穹呢雪币： 4753 活跃值： (8207) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 229 粉丝 18 关注私信	墨穹呢 17 楼感谢分享 2024-11-14 11:19 0
git_94730eaydwshawke-gif 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	git_94730eaydwshawke-gif 18 楼 6666 2026-1-28 15:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复