-
-
[分享]看雪3W班试题AntiOllvm去混淆
-
发表于: 2022-1-7 11:19
-
来自看雪论坛对ollvm的算法进行逆向分析和还原，本文对照文章所指出的函数进行去混淆
使用命令
第一条命令3个函数体较小，可以一次性去混淆。sub_1D1E8 函数较大单独运行避免占用内存太多
生成文件
去混淆之前
去混淆之后
去混淆之前
去混淆之后
去混淆之前
去混淆之后
去混淆之前
去混淆之后
去混淆之前
去混淆之后
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x26300-0x26698,0x1b89c-0x1c918 --select-functions JNI_OnLoad
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x1d1e8-26300
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x26300-0x26698,0x1b89c-0x1c918 --select-functions JNI_OnLoad
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x1d1e8-26300
|
1
2
|
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x26300-0x26698,0x1b89c-0x1c918 --select-functions JNI_OnLoad
antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x1d1e8-26300
|
- 文件都可在 AntiOllvm 下载
- libnative-lib.so 原版混淆的二进制文件
- libnative-lib-anti.so 去混淆后的二进制文件
- JNI_ONLoad 正常混淆，导出函数可以使用
--select-functions选项设置名称。该函数主要调用RegisterNatives注册C函数 - sub_12AE4 函数范围 0x12AE4-0x13AAC 存在很多小的混淆块，函数包含异常处理，还使用了向量指令，目前暂未添加该向量指令和异常处理，后续版本添加。
- sub_1D1E8 函数范围 0x1D1E8-0x26300 函数体较大，存在很多小混淆块
- sub_26300 函数范围 0x26300-0x26698 代码较少
- sub_1B89C 函数范围 0x1B89C-0x1C918 函数，代码量中等
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
