基础理论

程序的结构

我们可以认为一个程序的代码结构如下图所示：

一个程序由多个函数（function）组成，而每个函数由多个分支（branch）组成，对于函数和分支我们做如下定义：

• 函数：从 CALL 指令跳转到的代码开始，在不通过 CALL 指令跳转的前提下能访问到的所有代码。
• 分支：通过 JCC 跳转到的代码开始，直到以 RET 结尾或者跳转到已分析过的分支的代码块。

因此去混淆的时候我们可以有如下代码框架，即先 bfs 函数，然后在每个函数内部再 bfs 所有分支。在 bfs 的过程中将已去混淆的代码拼接起来。这样做的好处是同一个函数的代码尽可能放在一起，ida 在反编译的时候容易识别。

代码重定位

代码的位置移动时，原本的 CALL 和 JCC 等跳转指令要想跳转到原来的地方需要进行指令修正，这个可以借助 keystone-engine 和 capstone 来完成。

然而在完成去混淆后程序中的绝大多数代码都移动了位置，因此程序中所有的 CALL 和 JCC 等跳转指令跳转的地址需要进行修正，也就是重定位。

对于指令修正我们可以通过并查集来维护。

一个程序的跳转指令可以看做是上图左边的结构。即存在一个跳转指令跳转到另一个跳转指令的情况。通过并查集我们可以将指令 A，B，C，D，E 的真实地址都修正为指令 E 的真实地址。

在使用并查集维护重定位的时候需要注意以下几点：

• 上图中的指令 E 需要确保不存在指令复用的情况。因为有的代码混淆会将程序拆分成指令后放到一个巨大的 switch 中，然后通过在 switch 中查找依次执行指令。这种情况会造成一条指令在不同的分支中都会使用，如果此时我们用并查集维护就会把该指令重定位到其中一个使用该指令的地址，但实际上该指令还会在其他地址出现，这就造成了程序可能会跳转到错误的分支上。对于这种情况我们需要重定位查找 switch 的代码到去混淆的代码上，而不是重定位 switch 中的具体指令，这样就保证一一对应了。
• 在上图的结构中我们可以发现，只有连接根节点的边是重定位的边，其余的边都是跳转的边。因为在跳转的时候我们不需要关心中间的跳转指令在哪里，而是需要关心最终跳转到的位置的真实地址。因此在并查集合并的时候如果是一条 JMP 指令就需要将该指令的重定位后的实际地址合并到指令的原本地址，然后将指令的原本地址合并到指令的跳转地址，否则将该指令的原本地址合并到指令的重定位后的实际地址。这样在并查集路径压缩之后每一个跳转指令跳转地址都被重定位到非 JMP 指令的实际地址。

例题：强网杯2022 find_basic

附件下载链接

观察发现程序由下面的代码块构成：

分析该代码块的执行过程，发现本质是在一个 switch 中查找实际指令。该代码块可由 lea ecx, [esp+4] 指令代替。

首先，我们需要将程序中的代码块提取出来，然后记录几个有用的信息：

• start_ea：代码块的起始地址
• end_ea：代码块的结束地址
• imm：在 switch 中查找指令用的立即数
• reg：存放立即数用的寄存器
• call_target：调用的 switch 函数

在提取代码块的有效信息的同时也可以检测该代码块是否有效，因此分析发现程序中会在代码块直接插入一些有实际功能的代码。

在提取出代码块之后利用提取到的有效信息可以在 call_target 中查找代码块对应的实际代码。这里有几个特殊情况：

• 一般情况在 cmp 判断找到对应位置后会依次执行 jnz，popa，popf 三条指令，然后后面紧跟着代码块对应的实际代码。然而想下面这种情况，在执行完 popf 后面紧跟着 pusha 而不是代码块对应的实际代码，简单分析一下发现这种情况代码块对应的实际代码为 retn 。这种情况需要返回 True 表示一个 branch 的结束。

  1 2 3 4 5 6 7 8 9

  .text:000045CC popa .text:000045CD popf .text:000045CE pushf .text:000045CF pusha .text:000045D0 call    dec_index .text:000045D0 .text:000045D5 popa .text:000045D6 popf .text:000045D7 retn

• 通常认为代码块对应的实际代码的结束标志为一个 jmp 指令，但是有的地方在 jmp 之后还会执行几条有效指令，因此判断实际代码的结束标志应当是 pushf 。

这里涉及到了维护重定位的并查集 RelocDSU ，对应代码如下。在 get 函数中如果遇到了 jmp 指令且操作数是立即数就路径压缩到跳转的地址，直到地址在 .got.plt 或者指令不是 jmp 指令。另外判断是否是已处理代码是根据地址对应的最终地址是否不在 .text 段。

接下来就是考虑如何提取出一个 branch 的代码了。前面提到过程序中会在代码块直接插入一些有实际功能的代码，因此需要借助 try:...except:... 和 assert 来处理。除此之外这里还有几个特殊情况：

• 程序中的 0x900 和 0x435c 处分别有一个获取返回地址 eip 到 ebx 和 eax 的函数，程序借助这两个函数来访问全局变量实现地址无关代码，然而重定位后代码地址改变，因此这里需要将其修正为 mov reg, xxx 。
• 需要根据程序中的 jmp 指令来决定下一步需要去混淆的代码位置，这里需要判断 jmp 后面跟的是否是立即数，另外需要判断 jmp 到的代码是否是已经处理过的代码。
• 并查集合并的时候如果是代码块，需要将代码块的地址合并到代码块对应指令的实际重定位后的地址；如果不是代码块如果是 jmp 指令且操作数是立即数，需要将 jmp 指令和该指令的重定位后的实际地址合并到指令的原本地址，然后将指令的原本地址合并到指令的跳转地址，否则将该指令的地址合并到重定位后的地址。

能够处理 branch 后，我们就可以 bfs 依次处理所有的 function 和 branch 了，这里还有几个特殊情况：

• 0x4148 地址处的函数中有一个 switch ，由于是通过跳转表跳转，去混淆脚本分析不到跳转的分支，因此需要读取跳转表找到跳转的 branch 然后添加到 branch_queue 中。
• 寻找新的 branch 时需要判断 jcc 的操作数类型是否是立即数。

在完成代码去混淆之后需要对代码进行重定位，重定位的时候需要注意 jmp 指令长度的变化。

最后去混淆后的 switch 不能被 ida 正常识别出来，具体原因是前面获取返回地址 eip 的函数被 patch 成了 mov reg, xxx 指令，导致其与编译器默认编译出的汇编不同（程序开启了 PIE，直接访问跳转表的地址 ida 不能正确识别），因此需要将这里的代码重新 patch 回去。

同时为了不影响原本程序中的数据，这里我将修复的跳转表放到了其他位置。另外还有两个字符串全局变量也移动到了正确位置。

最终去混淆脚本如下：

例题：SUSCTF2022 tttree

附件下载链接

首先将 0x140010074 ，0x140017EFA ，140018C67 起始处的数据转换为汇编。

观察汇编，发现很多代码块之间相互跳转，因此先按照 retn 划分代码块。通过对代码块的观察，发现这些代码块按照 call $+5;pop rax（即 E8 00 00 00 00 58 ） 的出现次数可以分为三种：

• 出现 0 次：
  
  本质上是 其它操作 + retn 。

• 出现 1 次：
  
  这种代码块本质为 其它操作 + jmp target ，注意 其它操作 中可能包含 branch 。

• 出现 2 次：
  

  这个可以看做 2 个出现 1 次的代码块两个拼在一起，其中前面一个代码块去掉 retn 。执行完前面一个代码块后由于没有 retn ，因此 target1 留在栈中。执行第 2 个代码块跳转到 target2 执行 ，在 target2 代码块返回时会返回到 target1 。因此这种代码块本质上相当于 其它操作 + call target2 且下一个要执行的代码块为 target1 。

我们定义代码块 Block 几个关键信息：

• start_addr：代码块的起始地址。
• asm_list：代码块的有效汇编，由于汇编指令可能包含 [rip + xxx] ，因此需要记录汇编指令的地址以便后续修正。
• direct_next：执行完此代码块后接下来要执行的代码块地址。
• branch_list：代码块中的所有条件跳转语句跳到的地址。
• call_target：代码块调用函数地址。

get_block 函数可以获取给定地址处的代码块并提取相关信息。代码块中可能有 push xxx;pop xxx; 这样的无意义指令，可以通过栈模拟来去除。

能够获取代码块信息之后就可以 bfs 函数以及函数中的所有分支，提取出汇编代码并写入 newcode 段。这里需要注意以下几点：

• 涉及 rip 的汇编指令不能只是简单把指令中的 rip 替换为对应的具体数值，因为有的指令立即数的长度被限制在 4 字节，直接替换成数值会溢出。一个比较好的解决方法是将 rip 替换为 rip + (指令原本地址 - 指令当前地址) 。这样借助 rip 寄存器扩大访问范围并且代码移动的距离不会超过 0x100000000 因此可以保证正确性。
• 如果 block.direct_next 对应的代码已经被去混淆了需要加上一条 jmp 指令跳转到已经去混淆的代码。
• 有的汇编指令 keystone 不支持汇编，比如 bnd ret ，需要特判。

最后对代码进行重定位，需要注意的是代码块中的有效指令中也可能有 call 指令，这里 call 调用的是一个类似 plt 表的结构，会直接跳转到导入表中的函数地址表指向的函数，需要特判这种情况。

最后完整代码：

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法