文章首发于安全客——链接

笔者于五月份时遇到几个经控制流平坦化的样本，由于之前没有接触过这方面知识，未深入分析。

七月初看到一篇博客——MODeflattener - Miasm's OLLVM Deflattener，作者同时在Github上公开其源码，故笔者决定对其一探究竟。该工具使用miasm框架，Quarklab于2014年的博客——Deobfuscation: recovering an OLLVM-protected program中已提到此框架，但其采用符号执行以遍历代码，计算每个Relevant Block目标终点，恢复执行流程。腾讯SRC于2017年的博客——利用符号执行去除控制流平坦化中亦是采用符号执行(基于angr框架)，而MODeflattener采用静态分析方式来恢复执行流程。笔者于下文首先结合具体样本分析其源码及各函数功能，之后指出该工具不足之处并提出改进方案。关于涉及到的miasm框架中类，函数，属性及方法可参阅miasm Documentation与miasm源码。LLVM，OLLVM，LLVM Pass及控制流平坦化不再赘述，具体可参阅基于LLVM Pass实现控制流平坦化与OLLVM Flattening源码。

计算每个块支配块数量，除以图中所有块，取最高分——若不低于0.9，证明该函数经过控制流平坦化。如下图：

块b支配除块a外其余所有块(包含自身)，那么其得分为9/10=0.9即最高分。读者可自行查阅Dominator Tree及Predecessors相关数据结构知识，此外不作展开。

首先拥有最大数量Predecessor者即为Pre-Dispatcher，而Pre-Dispatcher后继为Dispatcher，Pre-Dispatcher所有前趋均为Relevant Block。

Dispatcher块第一条指令为状态变量：

遍历每个Relevant Block，为其创建ASM CFG及IR CFG，作者实现了一save_cfg函数可将CFG输出(需要安装Graphviz)：

之后查找所有使用状态变量及定义状态变量语句：

可以看到DefUse图与语句对应关系：

查找状态变量所有可能值：

为状态变量赋值有两种情况——一种是直接赋值，不涉及条件判断及分支跳转，其对应ExprInt：

另一种是CMOV条件赋值，其对应ExprSlice：

之后计算每一状态变量可能值对应Relevant Block：

如下图：

将fixed_cfg中存储的状态变量值替换为目标Relevant Block地址：

将所有无关指令替换为NOP：

其中patch_gen函数定义如下：

首先检查每个块中是否存在函数调用，如果存在，计算其修补后偏移；否则直接使用原指令：

之后修复执行流程：

如果是条件赋值，替换为条件跳转；否则直接替换为JMP指令。

至此，源码分析结束。如下图所示，可以看到其效果很不错：

其计算基址是通过访问sh属性：

故笔者首先增加一参数baseaddr：

之后判断文件类型：

如果是PE文件且未提供baseaddr参数，则直接给其赋值为0x400C00；若是ELF文件，则访问sh属性。

通常CMOV指令位于倒数第三条语句，但笔者在测试时发现部分块CMOV指令位于倒数第四条语句：

故改进如下：

仅判断是否为函数调用，但并未判断调用函数地址是否为导入函数地址，如下图两种情形所示：

改进如下：

未考虑到由局部变量存储状态变量值情形：

如果是上述情形，状态变量值往往位于头节点中，故改进如下：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课