使用unicorn来trace还原ollvm混淆的非标准算法

题目出自高研班3W计划9月的题目还原ollvm混淆的自定义算法，见本帖附件。

ollvm的自定义算法的还原一般就是意味着非常多的分支。我们可以F5打开后。逐步根据参数的传递。逐步的进行追踪。又或者是根据返回值。来逐层向来源追踪。如果这个算法是一个比较纯粹的算法。那么我们可以用unicorn来模拟执行这个代码段。并且打印所有的汇编指令每一行的变化。最后还原出这个算法。这个题目就是一个比较纯粹的算法。这里我采用了unicorn来进行算法的恢复。

做这个题目。我定制了一个专门用来trace指令详细变化的回调。可以直观的看到每行汇编指令当前的寄存器的数值和指令执行后的数值。

unicorn相当于是一个cpu的模拟器，可以用来执行so中的代码段，一般不要直接使用apk中的so文件，直接使用是需要修复上下文的，这样会比较复杂。最好是直接从内存中直接dump一个so出来。然后就可以直接执行so里面的代码段。然后看一个例子ollvm9.apk

最终trace出来的成品demo：https://github.com/dqzg12300/unicornDemo

首先用jadx打开这个apk。看看里面的按钮的功能

然后看到这里主要用到了UUIDCheckSum这个函数来进行加密

解压这个apk。用ida打开libnative-lib.so找到UUIDCheckSum函数。发现这个函数是ollvm混淆的。然后找入参的使用，发现了一个关键函数。

然后我们想要用unicorn来执行这个函数。首先找到函数的起始和终止位置，这个函数我找到是start:0xfcb4 end:0xff2c

直接使用我们这个ida查看的so文件是不行了。最好是在真机执行时从内存中dump这个so出来。就是拥有完整上下文信息的。这里我使用了大佬的工具来dump：https://github.com/lasting-yang/frida_dump

使用起来也是非常简单

frida -U com.kanxue.ollvm_ndk_9 -l dump_so.js

dump_so("libnative-lib.so")

执行后生成了一个so文件libnative-lib.so_0x7eae047000_0x38000.so。将这个文件拷贝到py项目下。

接着梳理一下想要写一个使用unicorn来执行的流程。

1. 创建一个unicorn对象
2. 使用unicorn创建一块内存，用来存放这个so代码
3. 使用unicorn创建一块内存，用来存放栈空间
4. 使用unicorn创建一块内存，用来存放要执行函数的参数
5. 读取so，将so写入到上面预先创建的内存中。
6. 给参数的那块内存赋值
7. 给寄存器赋值（x0,x1,sp），X0就是ida函数中看到的第一个参数，X1就是第二个参数
8. unicorn启动执行指定片段的代码
9. 读取执行结果
10. 释放创建的内存

然后下面看一下实现的代码

执行后，得到下面的结果

执行这个代码段成功后，我们想的是能够将每行执行的汇编代码都打印一下。可以使用hook_add来添加一个指令执行时的回调函数，我们解开上面代码的这句注释

然后先设置一个最简单的打印看看

设置之后的打印效果是

但是仅仅是这样的效果还是没办法拿来分析算法，必须将每个寄存器的结果在后面打印出来，所以要改造下,下面是我根据自己的需求定制的一个trace打印

1. 在每行的汇编后面打印该行中所有使用到的寄存器数据
2. 在每行的最后再打印这个寄存器在计算后的结果值
3. 监控指定地址的内存变动。如果数据发生改变。则打印这块内存的数据

下面看具体实现。

首先创建一个全局文件globalData.py用来存放全局变量

下面贴上完整例子

下面贴个打印的效果片段

有了这份寄存器的变动，然后再根据我们的参数的指针在这份代码中查找。我搜索一下0x7eb6048000这个使用到的地方，然后就可以找到关于input的每个字节是怎么变换的规则了。这个例子的难度在于最后两个字节的变动。我只说一下最后两个字节的计算是怎么来的。

这是最后的一段代码可以看到w8=0x62写入到了0x22的位置，w8=0x30写入到了0x23的位置。那么这两个数值是什么来历呢

这里看到是从另外一块内存0x7eae07e060的0xb的位置读取到了0x62。由于我前面已经使用了内存监控。所以这块地址的数据我们可以看到是下面的

这段字节转成字符串之后的结果就是

而0xb的位置实际就是62。那么这里的意思就将0xb转成ascii，所以直接找0xb怎么来的就行了

然后继续找0x9d0和0x9db怎么来的

最后只差0x9db是哪里来的，搜索一下0x9db

然后这里我查过0x4f和0x98c了。然后发现上面有长的相同的流程。所以这种遍历的情况。我们直接搜索前面的地址0x7eae056e34就行了

到这里就知道了。这个0x9db是input的累加。不过并不是完整的累加。所以这里稍微留意下。就能得出结果了。

最后0x23位置的字节处理和0x22位置的基本雷同。我就不重复讲了。直接贴上解密后的代码

最后输出结果

优秀学员作品展示

《安卓高级研修班(网课)》秋季班开始招生！

课程内容

服务对象：

有一定基础的初、中级安卓逆向研究员，迫切希望提高自身能力、学习能力强，升职加薪意愿强烈、学习意愿强烈。

服务内容：

• 上述列出的两大计划、各八大专题及其包含的二十四个细目；
• 专属班主任，敦促学习、鼓励士气；良好的抱团学习的氛围；
• 可以参加《安卓高级研修班》线下班，鼓励线下交流，与大佬谈笑风生；

• 注意2W班和3W班是完全独立噢，没有交集；

  

开班时间：2021年秋季班

PS：以上为总体服务计划，具体课程时间(段)安排以最终合同约定的课程表为准。

培训价格：

就业班注意事项：

1. 就业班附带包就业服务(须达到合同规定的毕业标准)，签合同保证就业及薪资，达不到退全款；
2. 就业班有入学考核，缴费成功后进入考核流程，考核不通过退全款；
3. 考核流程会包括简历筛选、班主任和老师(电话)面试等环节；

强化班注意事项：

1. 强化班仅去除包就业服务，并且无入学考核，其余与就业班完全相同；
2. 就业班与强化班一起授课，合计35人一个班，教学上不做任何区分。

金融风险注意事项：

1. 《安卓高级研修班》全系列无任何金融计划，纯预付；无任何金融套路。
2. 网络课程为虚拟商品，购买之前可以观看下述试看内容，购买成功之后不接受退款。

报名地址：

• 网课月薪三万计划：https://www.kanxue.com/book-brief-84.htm

• 网课月薪两万链接：https://www.kanxue.com/book-brief-83.htm

试看地址：

• 3W:《ida trace分析非标准算法》
• 3W:《Fart&frida》
• 2W:《Fart中的脱壳点》
• 2W:《Dalvik下动态注册原理追踪 》

联系我们：

课程顾问微信：r0ysue（备注“安卓高研网课”）

渴望知识和力量的你还在等什么，赶紧报名加入我们吧！

免责条款

• 以上所有宣传稿件内容均不作为服务承诺，最终以实际签订培训合同为准。
• 课程大纲与细目会根据教学反馈不断优化、调整与更新，实际授课可能与宣传主题略有不同；

常见Q&A及预习指南

Q：有优惠么？！有优惠么？！有优惠么？！重要的事情说三遍！！

A：没有任何优惠噢。只送开学大礼包，把我们网课中需要准备的设备和环境直接送给大家。

3W班高研网课开学大礼包：

• 一部pixel手机(sailfish)(安卓8脱壳镜像)
• 安卓源码开发编译调试环境SSD移动硬盘500G

2W计划的话大礼包中的手机或移动硬盘二选一。

Q：网课内容与线下班内容一样么？

A：月薪三万计划的内容与线下班的内容是一样的，我们在线下班沉淀大家的切实的需求和疑问，重新编排和制作内容作为网课与大家分享。月薪两万计划的内容由三万计划的讲师全新制作，充分体现工作场景一线的需求，更加贴近实战、实用，有用、好用。

Q：非常关心ollvm和vmp，可以详细介绍下还原的方法和细节么？

A：目前针对ollvm和vmp，任何所谓的自动化，都是带很多前提和条件限制的；目前最快的还原ollvm或vmp的方法，还是手动分析，一般快则两三日、慢则一两周，基本上可以还原出来。ollvm或vmp虽然非常复杂，但是并不代表没有取巧和判断的方法；依托于我们丰富的经验，我们会在课上将我们调试和分析的普适方法和一般性及特殊性技巧教给大家，同时带领大家开发属于自己的ollvm和vmp虚拟机，让学员既能够自己给自己的程序加密，又能够分析别人的经过ollvm或vmp保护的算法，这才是我们看雪高级研修班所传达的授人以渔的精神。

Q：想报名网课需要什么样的基础？像我这样的初学者可以报名么？

A：

• 月薪两万计划推荐至少有实际安卓安全岗位工作经验一年以上为宜。初学者可以先看我们安卓版主非虫大佬的《Android软件安全权威指南》等安卓安全书籍进行入门，在看雪论坛看帖发帖提升自身水平，本套课程建议有工作经验的老手前来充电学习。
• 月薪三万计划视大家实际需求而定，一般看得懂目录及想要学习的人自己就懂，大家不用盲目跟风。如果看不懂目录及不理解目录的具体含义及意义，建议先从两万计划学起，多积累技术和经验。

Q：学习三万计划之前，需要先掌握两万计划的基础吗？

A：不需要，互相独立的。月薪两万计划的定位更加偏向工作岗位一线逆向需求，月薪三万计划则更加偏向于高级调试技巧，二者互为补充，相辅相成。有非常多地大佬两个计划一起报名了，我们也会确保直播时间不会冲突。

Q：想报三万的班，真的很想学高级技巧；但两万的班中也有很多是我想了解和学习的，大佬给些建议呢？

A：其实推荐两个班一起报，有好几位大佬就是两个班全报的。因为首先价格真心不贵，其实我们会将直播的时间错开，方便大家同时进修三万和两万计划，学习自己想要学习的、心仪的知识。

Q：直播答疑如果错过了，是否会有直播内容的回放？

A：每一场直播都有回放，在看雪课程中可以观看。

Q：就业班如何报名呢？流程是怎样的呢？

A：就业班是需要考核的。考核流程是先缴费报名，然后开始。会经过简历、(远程)一面和二面。通过之后补差价，不通过退全款。

Q：我已经报名了，趁开班前还想再预习一下，可否给个预习指南，让我好好利用开班前这段时间再恶补一下。

• 在月薪三万计划中，我们学习的主要目标是，掌握调试、分析和还原ollvm、vmp的方法，定制art虚拟机进行自动化脱壳的方法，主要涉及的技术栈是C\C++还原、arm(64)，C++开发。因此首先推荐邓凡平先生的《深入理解Android：Java虚拟机art》，里面的第五章详细讲解了art虚拟机的实现语言C++11，是阅读art源代码必备的知识；其余部分也详细讲解了Class文件、dex文件和ELF文件的格式和内容，以及art虚拟机的编译、runtime、解释执行、内存、线程等art的技术细节；推荐的第二本书是《C++反汇编与逆向分析技术揭秘》，按照书中的方法自己编写实验代码对C++使用ndk编译后arm汇编进行对照，掌握c++数据类型、控制流、函数和类在编译后arm汇编的表现形式；希望大家预先掌握这些知识，即使现在不开始看，开课后也会要求大家必须掌握。
• 在月薪两万计划中，我们更加注重的是实际工作中遇到的各种场景、实际工作能力的提升，及解决实际问题的能力。因此各种逆向环境的搭建、逆向的综合能力和利用代码的编写是最关键的，这里主要涉及的技术栈也是比较杂的：比如网络、Ubuntu/安卓系统知识、应用安全开发、Frida/JS/py等等、Java技巧，比较考验学员的计算机综合技术基础水平。因此我们从工作实践中的需求出发，推荐大家首先强化安卓Java代码的开发、及各种网络和接口的知识，这两大技能被大量应用到应用安全、漏洞检测、渗透测试、黑灰攻防等方向，我们并不推荐具体的书目，只要涉及Java、安卓和网络的图书，都可以。有句话叫做开发的高度，决定了你逆向的高度，希望大家利用好开班前的时间，强化一下Java和网络开发的能力。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！