-
-
[原创]使用时间无关调试技术(Timeless Debugging)高效分析混淆代码
-
发表于: 2022-5-29 23:33
-
|
|
|---|---|
|
|
|
|
|
解析load/store相关指令，计算访问内存地址和大小，能说说怎么做的吗？ 有malloc之类就记录下来地址大小？这方面有相关的代码推荐吗？ 工具的UI部分用什么框架写的。还是完全自主开发
最后于 2022-6-1 20:53
被flashgg编辑
，原因：
|
|
|
|
|
|
回调用户js hook开销太大了吧，理论上应该差不多的。界面是qt，c++实现的。 |
|
|
解析指令理论上可以直接使用vixl，我后面可能也会改成直接使用vixl。 |
|
|
很高兴国内的安全从业者，有如此思考，能够站在巨人的肩膀上前行，研发的这个工具大大提高分析效率，大部分打工仔都只是着眼于眼下的工作了，整日忙碌，缺碌碌无为。为楼主点赞。其实在国内我们最缺的就是分享精神，而分析不单单是给予别人，也会让自己领悟的更透彻。
|
|
|
|
|
|
trace是frida类，不是qemu。 导入第三方工具记录的trace这个问题有考虑过，比如qiling，unidbg，ida，lldb这些。模拟器类的trace都有内存回调，可以记录内存，但是调试器只有cpu上下文，如何通过cpu上下文变化逆推内存内容这个问题还得研究，等以后有方案了可能就会着手实现。至于trace格式我认为倒不是什么问题，遇到了修改即可。 工具目前还是自己使用，看能不能用它在公司先搞点kpi。 |
|
|
|
|
|
感谢分享！大佬在trace多线程的时候，是怎么判断当前执行的指令是属于哪个线程的呢，最后生成的trace记录，是按照不同线程分开存放，还是按照指令的执行顺序存放呢 |
|
|
|
|
|
我的是函数级别的trace，执行这个函数的时候用gettid就能知道线程。trace保存是分文件保存，设计上支持合并多个trace成一个有序的trace。 |
|
|
|
|
|
学习，膜拜大佬
|
|
|
|
|
|
防御方检测的话，放bx指令 代码段 指令校验 能检测出来 :) |
|
|
估计是在每个patch跟踪段指令 ，blx (注入记录数据的代码段) bx lr 相对比于调试器单步跟踪的开销仅仅是几条指令，调试器需要内核和应用层通信，消耗极大的 |
|
|
不是这样的哦，看下stalker实现吧 |
|
|
|
|
|
大佬插桩库不会也是自己写的吧 |
|
|
用vixl自己写 |
|
|
|
|
|
|
|
|
stalker实现确实不是每个指令前插bx，是以块为基本单位 ，在块前面插bx指令 |
|
|
|
DiamondH
