-
-
[原创]记一次基于unidbg模拟执行的去除ollvm混淆
-
发表于: 2023-5-3 23:00
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
没有 |
|
|
|
|
|
|
|
|
大佬这个AntiOllvm.java 下载过期了，可以在分享一次吗
|
|
|
|
|
|
|
|
|
请教一下大佬，第一次跑完BR X9，之后，这些分支没有执行到，根据提示修改寄存器w8的值跳转 这里的这个跳转实际测试来看，好像没有跳转到，不知道是不是版本不一样的原因 是否有其他思路这里让没有执行到的分支执行一下 |
|
|
你将62144 的w8改为0，会执行62158 |
|
|
按照我说的，加入造成死循环，那么就按照楼主说的，标志当前位置，下次调用procBr时就patch，退出 |
|
|
大佬，像getRegValue,readInt64是哪个库的
|
|
|
|
|
|
我自己写的hh |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
你好，冒昧问一句，这个地方你是不是写错了。 文章第一张截图可知W11=0x6E221A17，W12=0x6E142EC8 文章说用unidbg修改0x5E5AC处W8的值为1
可是 如果上面一条指令w8等于0,那么W8=W11>W12,下面会执行B loc_5E678 如果W8不等于0,那么W8=W12,依然会执行B loc_5E678， b.lt是小于才会跳转,无论W8等于W11还是W12始终无法是进入B.LT loc_5E5CC， 你是怎么进入loc_5E5CC分支的。 另外感觉你这里面,好多值都是肉眼观察然后硬编码上去的， 你是不是看了程序运行流程，然后肉眼剔除掉多的部分，然后实现的还原， 那这样好像没多少意义了，想问一下目前有没有通用一点的办法。 |
|
|
兄弟，能大家一起探讨下吗 |
|
|
大哥，能请教下相关问题吗 |
|
|
大哥，能请教下问题吗 |
|
|
|
秋狝
