[原创]OLLVM-deflat 脚本学习-逆向工程-看雪安全社区

[原创]OLLVM-deflat 脚本学习

发表于: 2023-4-9 18:23 25268

[原创]OLLVM-deflat 脚本学习

Onlyxiaoxiao 活跃值

2023-4-9 18:23

25268

## deflat 脚本学习【去除OLLVM混淆】

deflat脚本链接：<a href="elink@737K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0M7e0j5%4y4o6x3#2x3o6f1J5z5g2)9J5c8X3c8W2k6X3I4S2N6l9`.`.">GitHub - cq674350529/deflat: use angr to deobfuscation</a>

### deflat 脚本测试

这里以<a href="elink@21aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8X3u0D9L8$3N6K6i4K6u0W2j5$3!0E0i4K6u0r3e0$3&6D9P5g2)9J5k6s2S2A6j5h3!0^5K9h3q4G2i4K6u0r3M7q4)9J5c8U0p5$3z5o6R3^5y4U0p5I4i4K6u0W2K9s2c8E0L8l9`.`.">代码混淆与反混淆学习-第一弹</a>中的OLLVM 混淆样本为例进行去除。【LLVM-4.0】

`python deflat.py --file main-bcf --addr 0x401180`

![](upload/attach/202304/952803_8F4G5E6VEG3RJB3.png)

![](upload/attach/202304/952803_9SHUDCTQ2ZYRKMA.png)

deflat.py 成功去除后效果：

| ![](upload/attach/202304/952803_CTJ24G2N7BKX5JB.png)| ![](upload/attach/202304/952803_W8AXJT9U36MKV8W.png)|
| ------------------------------------------------------------ | ------------------------------------------------------------ |

去混淆后，效果还算可以，能分析程序流程了。

### deflat 脚本分析【angr】

<a href="elink@0a5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6k6h3y4#2M7X3W2@1P5g2)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8X3c8W2P5q4)9J5k6i4m8Z5M7q4)9J5c8X3u0D9L8$3N6Q4x3V1k6E0M7$3N6Q4x3V1j5I4x3e0t1`.">利用符号执行去除控制流平坦化 - 博客 - 腾讯安全应急响应中心 (tencent.com)</a>

<a href="elink@255K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7r3W2Q4x3X3g2S2L8X3N6J5i4K6u0W2K9h3!0Q4x3V1k6W2L8W2)9J5c8X3I4S2N6r3g2K6N6q4)9J5c8X3W2F1k6r3g2^5i4K6u0W2K9s2c8E0L8l9`.`.">angr documentation</a>

<a href="elink@60fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1L8s2g2W2M7$3q4V1K9g2)9J5k6h3N6A6N6r3S2#2j5W2)9J5k6h3W2G2i4K6u0r3x3s2R3@1x3o6q4d9k6i4k6f1M7X3q4A6L8W2)9J5k6q4c8G2L8$3I4K6i4K6u0r3j5h3&6Y4M7W2)9J5c8U0p5H3i4K6g2X3i4@1f1#2i4K6R3^5i4@1p5&6i4@1f1%4i4K6V1@1i4@1p5^5j5h3&6Y4M7W2!0q4y4#2!0m8b7#2!0m8y4W2!0q4y4g2)9^5c8W2!0n7y4#2!0q4y4W2)9^5z5g2!0m8y4#2!0q4z5q4!0m8x3g2)9^5b7#2!0q4y4g2)9^5c8g2!0n7b7W2!0q4z5g2)9&6z5g2!0m8y4q4!0q4y4W2)9^5c8g2!0m8y4#2!0q4y4g2)9^5z5q4!0n7y4W2!0q4y4W2!0n7y4g2)9^5x3g2!0q4y4g2!0n7z5g2!0n7x3#2!0q4y4g2)9&6c8q4!0m8y4W2!0q4y4g2)9^5b7#2)9&6y4W2)9J5c8R3`.`.">利用angr符号执行去除控制流平坦化 - 0x401RevTrain-Tools (bluesadi.github.io)</a>

![](upload/attach/202304/952803_QHCYKEG3XHXEWDV.png)

- 序言：函数的第一个执行的基本块
- 主(子)分发器：控制程序跳转到下一个待执行的基本块
- retn块：函数出口
- 真实块：混淆前的基本块，程序真正执行工作的版块
- 预处理器：跳转到主分发器

如第一弹中分析：OLLVM 的控制流平坦化是将程序的一般逻辑划分为很多个真实执行的块，然后通过分发器进行链接。其实就是一个Switch结构，每次执行完真实块后，进行预处理，再跳转到主分发器，继续分发，最终达到平坦化的效果。

显然，**去控制流平坦化**就是要找到真实块间的跳转逻辑，打破Switch结构束缚。

具体来说，有如下步骤：

1. 静态分析CFG得到序言/入口块、主分发器、子分发器/无用块、真实块、预分发器和返回块。
2. 利用符号执行恢复真实块的前后关系，重建控制流
3. 根据第二步重建的控制流Patch程序，输出恢复后的可执行文件

#### 静态分析

首先明确：**【以下结论针对OLLVM项目，其他大佬加料的OLLVM混淆还需要单独分析】**

1. 函数的开始地址为序言的地址
2. 序言的后继为主分发器
3. 后继为主分发器的块为预处理器
4. 后继为预处理器的块为真实块
5. 无后继的块为retn块
6. 剩下的为无用块

`angr 获取类似Ida的 CFG`

![](upload/attach/202304/952803_6HRUGN3XCQREMV7.png)

`获取真实块、主分发器、预处理器、序言、retn块和无用块`

![](upload/attach/202304/952803_H2HZC4KC9B3U6R7.png)
`获取真实块的细节`

![](upload/attach/202304/952803_YRJFWRNKMEMTNTD.png)

#### angr 恢复真实块执行逻辑，重建控制流

利用angr 强大的符号执行功能，找到各真实块的连接逻辑。

![](upload/attach/202304/952803_DFTKWMW3XHVA6WX.png)

这里对于两个分支的模拟执行，只需关注`cmov`指令，就可以分别对应得到eax、ecx，然后获得后续真实块。【局限性很大】

![](upload/attach/202304/952803_MKEFQFEKVMVQJSA.png)

符号执行 `symbolic_execution（）`函数，返回后继真实块。

![](upload/attach/202304/952803_ZTNMCVB6XJBKCY2.png)

#### Patch程序恢复执行逻辑

![](upload/attach/202304/952803_HRVU95D237UFU27.png)

如此便完成了 deflat脚本的简单处理分析。

#### 小结

分析下来，其实就是定位到所有真实块，然后**利用angr符号执行将真实块间的执行逻辑进行串联**。最后进行patch程序，重建控制流。

但显然存在一些问题，我们默认了如下规则:

但是在实际去除控制流平坦化过程中，上面的默认思路已经被加混淆的开发者做了处理。

例如：

- 后继为预处理器的块不一定是真实块；
- 预处理器不一定存在；
- 存在分支的真实块跳转的判断逻辑，不一定是`cmov`指令;
- deflat脚本默认模拟执行最多两个分支，但真实情况可能不只两个分支；
- 可能存在一个**向前更新的数组，依据程序运行进行更新**，决定当前真实块的跳转【这导致**angr对于该块的模拟执行**得不到正确的跳转】
- 程序在加混淆前，已经被添加了花指令或其他处理，`程序CFG图`已经被打破；
- 某个块存在死循环，会使angr符号执行卡死……

这也导致了，这个**deflat脚本的普适性较低**，除了能够处理OLLVM官方项目做的混淆，对加了其他PASS或者处理的混淆，基本用不了。

所以对于去除不了的OLLVM混淆，我们需要**根据程序的实际混淆效果，对deflat脚本进行修改**，再进行去混淆。

【这也要求对deflat 脚本比较熟悉，可以更快上手】

### 失败的花指令控制流平坦化尝试

使用<a href="elink@fe6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8X3u0D9L8$3N6K6i4K6u0W2j5$3!0E0i4K6u0r3e0$3&6D9P5g2)9J5k6s2S2A6j5h3!0^5K9h3q4G2i4K6u0r3M7q4)9J5c8U0p5$3z5o6R3^5y4U0p5I4i4K6u0W2K9s2c8E0L8l9`.`.">代码混淆与反混淆学习-第一弹</a>中加了花指令的程序，进行OLLVM控制流平坦化混淆，看看效果。

源代码如下：

![](upload/attach/202304/952803_JNYGCQPMGC4BV2N.png)

```
# clang 执行内联汇编加 -fasm-blocks 或者 -fms-extensions 或者 -masm=intel

clang -mllvm -fla -mllvm -split -mllvm -split_num=3 main-call-加花.cpp -lm -fasm-blocks -o main-call-加花

# 需要对源代码作一些修改
```

存在较大的问题，我的OLLVM 环境是在Ubuntu上搭建的，对于上述内联汇编加的花指令无法编译通过！

【或许可以在**Windows 上移植OLLVM，进行编译（好像挺难的）**】

![](upload/attach/202304/952803_PW9Y3N2NW9MKQPJ.png)

可以看到，花指令用到的标签、$ 出现报错。

【最终也没解决编译问题，或许本就不可以，ollvm 不具备这样的处理能力，也可能是我代码的问题，**如果博客前的你有任何想法，欢迎与我交流**】

## TSCTF-J 2022-upx_revenge实战分析

<a href="elink@8ddK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8X3u0D9L8$3N6K6i4K6u0W2j5$3!0E0i4K6u0r3e0$3&6D9P5g2)9J5k6s2S2A6j5h3!0^5K9h3q4G2i4K6u0r3M7q4)9J5c8U0p5$3z5o6l9^5x3e0p5%4i4K6u0W2K9s2c8E0L8l9`.`.">TSCTF-J 2022 WP</a>

对`upx_revenge`题目进行分析。

![](upload/attach/202304/952803_MUFSH37JMK8AJVB.png)

首先直接使用deflat 脚本。

`python deflat.py --file upx_revenge_test --addr 0x4016D0`

![](upload/attach/202304/952803_4WJBR84BD67B7NM.png)

发现没有找到retn 块。

### 处理多个retn块

回到ida 查看cfg 图发现原因：存在其他的退出块。

![](upload/attach/202304/952803_4ZGNYDJ6S42Y5H4.png)

这里需要改进deflat 脚本，使其存在很多retn块。

```
# 其他位置的retn_node，对应改为list处理
if supergraph.out_degree(node) == 0:
            retn_node.append(node)
```

![](upload/attach/202304/952803_JVZ47ZXNRZU96JS.png)

成功运行，但是去除效果不行。

| 去除后CFG图                                                  |
| ------------------------------------------------------------ |
| ![](upload/attach/202304/952803_847TSM638PP9GAE.png)|

### 多个comv的处理

很明显看出，程序的真实块间的逻辑串联失败，也就是重建控制流失败。

![](upload/attach/202304/952803_GPPY27UVMZ4HAFB.png)

产生原因

| ![](upload/attach/202304/952803_TY444XBZ52F48MU.png)|
| ------------------------------------------------------------ |
| ![](upload/attach/202304/952803_7VHMEEA44XQBN9K.png)|

显然，这里存在2个分支，因为有两个`cmov`【相同判断】，并且call 函数，对分支跳转是有作用的，这里var_CC是顺序执行，动态更新的。

【deflat 脚本只处理了执行有一个`cmov`指令的情况，且hook了call函数】

**【由于var_CC是顺序执行，动态更新也可以看出，deflat 脚本的模拟执行思路已经无法对真实块的后继进行确定了】**

但这里做个测试，不hook call 看是什么效果。

![](upload/attach/202304/952803_HF5M3MF3UPXJZC3.png)

可以知道，取消hook call 对真实块后继的查找毫无影响，这是因为deflat中的模拟执行，只是基于`comv` 处的模拟。对前文并无任何关联。

显然，该deflat脚本的无法处理了。【】

## 总结

### angr

就**upx_revenge** 这道题而言，

deflat 脚本中angr 对局部的模拟执行显然无法获取真实块间的执行顺序，重建控制流显然也无从谈起。当然静态查找各个控制流平坦化的功能块效果还是可以的。

那么如何通过angr,有序的、联系上文地进行模拟执行，获取真实块的执行逻辑，显然是关键点！

【??? 后续学习了，有思路再更新】

### unicorn

[[原创\]ARM64 OLLVM反混淆-Android安全-看雪论坛-安全社区|安全招聘|bbs.pediy.com (kanxue.com)](https://bbs.kanxue.com/thread-252321.htm)

<a href="elink@f03K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2B7K9h3q4F1M7$3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0l9K6y4e0g2S2y4U0N6T1z5o6M7$3x3R3`.`.">Unicorn反混淆：恢复被OLLVM保护的程序(一) - 简书 (jianshu.com)</a>

使用unicorn 模拟执行框架获取真实块间的执行顺序，重建控制流。

【还没学过 unicorn 使用，，，】

### ida

<a href="elink@7b6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5P5W2)9J5k6h3q4D9K9i4W2#2L8W2)9J5k6h3y4G2L8g2)9J5c8Y4c8Q4x3V1j5$3y4K6b7&6">使用IDA microcode去除ollvm混淆(上) - 先知社区 (aliyun.com)</a>

<a href="elink@3bfK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7f1$3S2G2j5$3E0W2M7W2)9J5c8X3c8W2i4K6u0V1L8$3I4D9N6X3@1`.">GitHub - PShocker/de-ollvm: IDA Python Script for anti ollvm</a>

利用ida 现成的CFG 图，以及idc 脚本，动态运行程序，获取真实块的执行顺序，从而恢复控制流。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#软件保护

收藏・41

点赞・18

打赏

赞赏记录

参与人

雪币

留言

时间

mb_egqterpv

期待更多优质内容的分享，论坛有你更精彩！

2026-8-18 22:22

mb_czjtaqrb

你的帖子非常有用，感谢分享！

2026-3-10 22:12

一路南寻

为你点赞！

2025-10-24 01:47

mb_frybuykd

期待更多优质内容的分享，论坛有你更精彩！

2025-9-17 16:57

祝今朝

你的帖子非常有用，感谢分享！

2025-3-5 10:58

sinker_

感谢你分享这么好的资源！

2025-2-26 22:49

mb_vzpetlxh

感谢你分享这么好的资源！

2024-9-2 09:28

养只猫不好么

这个讨论对我很有帮助，谢谢！

2024-8-28 16:03

AEVE

为你点赞~

2024-1-2 09:47

PLEBFE

为你点赞~

2023-12-25 00:47

hkdong

为你点赞~

2023-10-25 14:12

Aira

为你点赞~

2023-5-8 01:11

随风而行aa

为你点赞~

2023-4-10 19:56

jmpcall

为你点赞~

2023-4-10 19:28

blue_sky

为你点赞~

2023-4-10 19:27

.KK

为你点赞~

2023-4-10 15:48

shinratensei

为你点赞~

2023-4-10 11:09

mb_lpcoesnt

为你点赞~

2023-4-9 21:50

打赏 + 5.00雪花

orz1ruo

打赏次数 1

雪花 + 5.00

orz1ruo

+5.00

2023/04/14

感谢分享～

最新回复 (9)
Editor 雪币： 31006 活跃值： (69979) 能力值： (RANK：145 ) 在线值：发帖 2681 回帖 5467 粉丝 2655 关注私信	Editor 2 楼感谢分享！ 2023-4-9 19:13 0
huangjw 雪币： 6679 活跃值： (11862) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 510 粉丝 2 关注私信	huangjw 3 楼好文章，正准备进阶ollvm，学习了 2023-4-10 10:55 0
shinratensei 雪币： 1719 活跃值： (215942) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 19 关注私信	shinratensei 1 4 楼 tql 2023-4-10 11:10 0
1mmortal 雪币： 26 活跃值： (1315) 能力值： ( LV3，RANK：26 ) 在线值：发帖 3 回帖 10 粉丝 6 关注私信	1mmortal 5 楼 upx_revenge 是北邮的题啊，那我估计这个混淆就是R1mao 大佬开源出来的那个。 https://bbs.kanxue.com/thread-275296.htm 之前也研究过这个，是用unicorn 去混淆的最后于 2023-4-10 14:36 被1mmortal编辑，原因： 2023-4-10 14:31 0
Onlyxiaoxiao 雪币： 179 活跃值： (517) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 3 粉丝 11 关注私信	Onlyxiaoxiao 6 楼 1mmortal upx_revenge 是北邮的题啊， 那我估计这个混淆就是R1mao 大佬开源出来的那个。https://bbs.kanxue.com/thre ... 是的，和祥云杯那个babyparser差不多。学长也给我推荐了你的处理思路，很顶。接下来准备先学习一下unicorn,然后采用你博客的思路复现一下！大佬tql 2023-4-10 14:51 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 7 楼感谢分享 2023-4-12 08:59 1
guijian 雪币： 835 活跃值： (2287) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 153 粉丝 0 关注私信	guijian 8 楼收藏！ 2023-5-4 19:30 0
B1ink 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	B1ink 9 楼所有的程序流程图不是应该只有两种分支嘛（1 or 0），大佬说的三种可以列举下情况吗？我最近也在研究unicorn获取程序执行路径，被模拟路径算法卡住了 2023-10-25 10:59 0
mb_egqterpv 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_egqterpv 10 楼 666 2026-8-18 22:22 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Onlyxiaoxiao

发帖

回帖

RANK

关注

私信

他的文章

[原创]OLLVM-deflat 脚本学习 25268

关于我们

联系我们

企业服务

看雪公众号

最新回复 (9)
Editor 雪币： 31006 活跃值： (69979) 能力值： (RANK：145 ) 在线值：发帖 2681 回帖 5467 粉丝 2655 关注私信	Editor 2 楼感谢分享！ 2023-4-9 19:13 0
huangjw 雪币： 6679 活跃值： (11862) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 510 粉丝 2 关注私信	huangjw 3 楼好文章，正准备进阶ollvm，学习了 2023-4-10 10:55 0
shinratensei 雪币： 1719 活跃值： (215942) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 19 关注私信	shinratensei 1 4 楼 tql 2023-4-10 11:10 0
1mmortal 雪币： 26 活跃值： (1315) 能力值： ( LV3，RANK：26 ) 在线值：发帖 3 回帖 10 粉丝 6 关注私信	1mmortal 5 楼 upx_revenge 是北邮的题啊，那我估计这个混淆就是R1mao 大佬开源出来的那个。 https://bbs.kanxue.com/thread-275296.htm 之前也研究过这个，是用unicorn 去混淆的最后于 2023-4-10 14:36 被1mmortal编辑，原因： 2023-4-10 14:31 0
Onlyxiaoxiao 雪币： 179 活跃值： (517) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 3 粉丝 11 关注私信	Onlyxiaoxiao 6 楼 1mmortal upx_revenge 是北邮的题啊， 那我估计这个混淆就是R1mao 大佬开源出来的那个。https://bbs.kanxue.com/thre ... 是的，和祥云杯那个babyparser差不多。学长也给我推荐了你的处理思路，很顶。接下来准备先学习一下unicorn,然后采用你博客的思路复现一下！大佬tql 2023-4-10 14:51 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 7 楼感谢分享 2023-4-12 08:59 1
guijian 雪币： 835 活跃值： (2287) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 153 粉丝 0 关注私信	guijian 8 楼收藏！ 2023-5-4 19:30 0
B1ink 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 4 粉丝 0 关注私信	B1ink 9 楼所有的程序流程图不是应该只有两种分支嘛（1 or 0），大佬说的三种可以列举下情况吗？我最近也在研究unicorn获取程序执行路径，被模拟路径算法卡住了 2023-10-25 10:59 0
mb_egqterpv 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_egqterpv 10 楼 666 2026-8-18 22:22 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复