-
-
[原创]基于trace 进行数据流分析的一些实践
-
发表于: 2025-1-15 15:42
-
声明
在前面逆向vmp的时候 handle分析写的是欲仙欲死，于是乎有了这篇文章，这篇文章的的灵感来源于 https://bbs.kanxue.com/thread-270799.htm ，由于vmp带来的代码膨胀，寻常的调试 f5 已经对无能为力了，既然寄存器跟踪不了 那我们来跟踪数据吧。
这里选用excel 作为trace 的一个后端，之所以用它，是因为我在b站看到了EXCEL 2024电竞大赛的相关视频 ，看的我是一愣一愣的，它主要有这几个优点
1.结果可视化
2.搜索速率强大
3.奇奇怪怪的功能丰富，不用自己造轮子
1.指令集
2、内存读写
3.寄存器
4.值分析（写不明白）
这里选用的libEncryptor 中的ttEncrypt算法进行实验 trace下来后开始分析。
可以看到7w条trace 如果是调试 那么你的键盘已经按烂了
数据分析有两种 一种是参数跟踪到结果 一种是结果跟踪到参数，这里用的是结果跟踪到参数 从下往上找。
先看看结果在哪
可以看到v9 长度为 v11 应该就是传出的结果了0x790103e700 excel根据地址从下往上搜索 
那么现在的问题变成了 谁填写了这个地址
继续搜索memacc
填写这个地址的是个 aes算法
于是乎 问题变成了参数是怎么来
跟踪第一个参数 0x793b65fb60
发现 是由memcpy 赋值
于是乎问题变成了79011daa00 怎么来的
于是乎问题变成了78527c4960怎么来的
ida 查看这个地址
sha512
于是乎 原文怎么生成的
跟踪到 6ac4
一个填充算法
向上继续跟踪
又是一次sha512
继续向上
得知是由rand生成
说一下大致流程
rand 随机数 -> sha512 ->填充算法-> sha512 -> key
在完成整个trace后 可以发现基于数据流的分析可以让程序流程无从遁形 大大提高了逆向工程的效率，对比逆向vmp的handle的效率，数据流分析的效率大大提高的，我仅仅是用了excel的搜索功能，就将整个流程分析的差不多了。不想去逆向vmp的兄弟可以自己动手试试
这种trace的分析更像是ttd的一种简化版本 或者说没有ce的无赖之举，但是在trace过程中我尝试过值分析，但是带来的却是trace速度减慢，非常慢，我如果想知道一个值是指针还是地址 还是常数 ，字符串有没有什么更好的办法，利用frida的try catch 机制去强制读写 带来的却是性能的成倍削弱，在引用了缓存机制后，又发现缓存更新又是一个大麻烦，有没有大佬捞一手
num: number; addr: NativePointer;
offset: NativePointer;
asm: string;
mem_acc: string;
reg_analyse: string;
func_analyse: string;
X0: NativePointer;
X1: NativePointer;
X2: NativePointer;
X3: NativePointer;
X4: NativePointer;
X5: NativePointer;
X6: NativePointer;
X7: NativePointer;
X8: NativePointer;
X9: NativePointer;
X10: NativePointer;
X11: NativePointer;
X12: NativePointer;
X13: NativePointer;
X14: NativePointer;
X15: NativePointer;
X16: NativePointer;
X17: NativePointer;
X18: NativePointer;
X19: NativePointer;
X20: NativePointer;
X21: NativePointer;
X22: NativePointer;
X23: NativePointer;
X24: NativePointer;
X25: NativePointer;
X26: NativePointer;
X27: NativePointer;
X28: NativePointer;
FP: NativePointer;
LR: NativePointer;
SP: NativePointer;
NZCV: NativePointer;
PC: NativePointer;
num: number; addr: NativePointer;
offset: NativePointer;
asm: string;
mem_acc: string;
reg_analyse: string;
func_analyse: string;
X0: NativePointer;
X1: NativePointer;
X2: NativePointer;
X3: NativePointer;
X4: NativePointer;
X5: NativePointer;
X6: NativePointer;
X7: NativePointer;
X8: NativePointer;
X9: NativePointer;
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2025-1-17 13:32
被kanxue编辑
，原因：
赞赏记录
参与人
雪币
留言
时间
ovo_帮我不c
为你点赞！
3天前
mb_dajiayec
感谢你的贡献，论坛因你而更加精彩！
3天前
g0mx
为你点赞！
2025-4-18 21:17
mb_qqnashwi
谢谢你的细致分析，受益匪浅！
2025-4-14 22:18
爱吃菠菜
这个讨论对我很有帮助，谢谢！
2025-4-14 21:55
Max_hhg
感谢你的积极参与，期待更多精彩内容！
2025-4-14 18:55
wx_啦啦啦~
为你点赞！
2025-4-13 20:15
trackL
非常支持你的观点！
2025-4-13 11:11
fengvmu
谢谢你的细致分析，受益匪浅！
2025-4-11 19:54
mb_klyhhlcc
感谢你的积极参与，期待更多精彩内容！
2025-4-10 23:46
0x指纹
期待更多优质内容的分享，论坛有你更精彩！
2025-4-10 11:05
六尘之幻
你的帖子非常有用，感谢分享！
2025-4-9 21:07
Gift1a
为你点赞！
2025-4-9 16:49
wx_Kiyose
为你点赞！
2025-4-6 20:57
mb_ycvtvhqa
为你点赞！
2025-4-1 15:52
轻快笑着行
你的分享对大家帮助很大，非常感谢！
2025-3-31 09:49
sry4leave
你的分享对大家帮助很大，非常感谢！
2025-3-24 22:01
上网鱼
感谢你的贡献，论坛因你而更加精彩！
2025-3-24 08:54
Nickname知寒
期待更多优质内容的分享，论坛有你更精彩！
2025-3-21 11:28
mb_tkijjroi
感谢你的贡献，论坛因你而更加精彩！
2025-3-21 09:27
qqizai
你的分享对大家帮助很大，非常感谢！
2025-3-21 09:24
mb_hguayowb
期待更多优质内容的分享，论坛有你更精彩！
2025-3-19 13:50
哈哥
你的帖子非常有用，感谢分享！
2025-3-19 09:47
小蜜蜂12138
感谢你的贡献，论坛因你而更加精彩！
2025-3-18 18:47
hibive
为你点赞！
2025-3-18 10:40
mb_otxpsqvh
为你点赞！
2025-3-18 09:59
残月_374878
感谢你分享这么好的资源！
2025-3-18 09:58
yzlmars
感谢你的积极参与，期待更多精彩内容！
2025-3-18 09:09
yimingqpa
你的分享对大家帮助很大，非常感谢！
2025-3-18 09:06
月清晖
你的分享对大家帮助很大，非常感谢！
2025-3-18 07:47
littlepotato
为你点赞！
2025-3-18 01:12
孤恒
感谢你的积极参与，期待更多精彩内容！
2025-3-17 21:32
大枫叶
这个讨论对我很有帮助，谢谢！
2025-3-17 20:34
Banyan
谢谢你的细致分析，受益匪浅！
2025-3-17 14:43
xhyeax
谢谢你的细致分析，受益匪浅！
2025-3-15 22:37
山间清爽的风
谢谢你的细致分析，受益匪浅！
2025-3-15 20:10
老小白
期待更多优质内容的分享，论坛有你更精彩！
2025-3-15 18:38
周旋久
这个讨论对我很有帮助，谢谢！
2025-3-15 18:20
青枫留念
你的分享对大家帮助很大，非常感谢！
2025-3-14 18:33
git_41495zeredy879
为你点赞！
2025-3-14 15:16
zhnnmsl
感谢你分享这么好的资源！
2025-3-14 09:42
_rf
感谢你的贡献，论坛因你而更加精彩！
2025-3-13 12:28
mb_aoiwvagj
你的分享对大家帮助很大，非常感谢！
2025-3-13 10:15
mb_izfxicrp
你的帖子非常有用，感谢分享！
2025-3-12 20:53
mb_itubdqgo
这个讨论对我很有帮助，谢谢！
2025-3-12 10:58
pwtc
非常支持你的观点！
2025-3-11 14:42
wwwst
非常支持你的观点！
2025-3-11 10:16
Lazy.
这个讨论对我很有帮助，谢谢！
2025-3-10 17:55
mb_itwfugbn
谢谢你的细致分析，受益匪浅！
2025-3-10 17:50
D-t
你的分享对大家帮助很大，非常感谢！
2025-3-9 00:57
V1n3entS0ng
这个讨论对我很有帮助，谢谢！
2025-3-6 20:01
KerryS
你的分享对大家帮助很大，非常感谢！
2025-3-6 19:11
wx_暮光之眼
非常支持你的观点！
2025-3-6 15:03
WMBa0
为你点赞！
2025-3-6 10:47
櫬木汐
非常支持你的观点！
2025-3-6 07:41
狐与虎
感谢你分享这么好的资源！
2025-3-5 22:45
逆天而行
期待更多优质内容的分享，论坛有你更精彩！
2025-3-5 14:49
mb_gjttoonf
谢谢你的细致分析，受益匪浅！
2025-3-5 13:47
lynnux
感谢你的贡献，论坛因你而更加精彩！
2025-3-5 12:12
无事不觉
非常支持你的观点！
2025-3-5 02:09
mb_cpprjoet
这个讨论对我很有帮助，谢谢！
2025-3-4 18:31
江左梅郎
为你点赞！
2025-3-4 14:42
许瑞
+5
感谢你分享这么好的资源！
2025-3-4 09:33
冲冲冲
为你点赞！
2025-3-3 23:56
Yangser
为你点赞！
2025-3-3 18:51
mb_ysroovkn
感谢你的积极参与，期待更多精彩内容！
2025-3-3 14:07
_thouger
为你点赞！
2025-3-3 11:55
mb_bkkdeflr
谢谢你的细致分析，受益匪浅！
2025-3-3 11:53
Yozo
感谢你的积极参与，期待更多精彩内容！
2025-2-28 23:31
suminglan
为你点赞！
2025-2-28 18:47
carrys
你的帖子非常有用，感谢分享！
2025-2-28 18:00
小菜鸭
谢谢你的细致分析，受益匪浅！
2025-2-28 17:16
cc04
为你点赞！
2025-2-28 15:51
hbji
为你点赞！
2025-2-28 15:16
hswizy
这个讨论对我很有帮助，谢谢！
2025-2-28 14:56
mb_eccnkipu
为你点赞！
2025-2-28 14:24
扒饭海0
谢谢你的细致分析，受益匪浅！
2025-2-28 14:24
laifuling
感谢你的积极参与，期待更多精彩内容！
2025-2-28 13:13
mb_dglswhne
感谢你分享这么好的资源！
2025-2-28 11:57
上善若水No
为你点赞！
2025-2-28 11:18
自己能
感谢你的贡献，论坛因你而更加精彩！
2025-2-28 11:08
Kwork
这个讨论对我很有帮助，谢谢！
2025-2-28 10:55
.KK
感谢你的积极参与，期待更多精彩内容！
2025-2-28 10:51
mb_hdptcgkk
感谢你分享这么好的资源！
2025-2-28 10:43
tonykros
期待更多优质内容的分享，论坛有你更精彩！
2025-2-28 08:39
niuaniu
感谢你的贡献，论坛因你而更加精彩！
2025-2-28 00:38
东方玻璃
感谢你的贡献，论坛因你而更加精彩！
2025-2-27 22:34
mb_fefksfsl
非常支持你的观点！
2025-2-27 21:05
touful
这个讨论对我很有帮助，谢谢！
2025-2-27 20:37
养只猫不好么
非常支持你的观点！
2025-2-27 19:13
逆向小玖
为你点赞！
2025-2-27 18:05
l4n
期待更多优质内容的分享，论坛有你更精彩！
2025-2-27 14:00
Tom-gogo
你的帖子非常有用，感谢分享！
2025-2-26 15:41
gladly
为你点赞！
2025-2-26 15:03
wmsuper
你的帖子非常有用，感谢分享！
2025-2-26 13:53
杨如画
你的帖子非常有用，感谢分享！
2025-2-26 12:10
neilwu
为你点赞！
2025-2-26 09:32
Je2em1ah
谢谢你的细致分析，受益匪浅！
2025-2-26 09:20
mb_wdzhnevo
感谢你的贡献，论坛因你而更加精彩！
2025-2-26 01:30
sk97
你的分享对大家帮助很大，非常感谢！
2025-2-26 00:23
秋风知寒
你的分享对大家帮助很大，非常感谢！
2025-2-25 17:28
月落之汀
你的帖子非常有用，感谢分享！
2025-2-25 16:39
5k1l
感谢你分享这么好的资源！
2025-2-25 11:38
tfflowers
+1
感谢你的积极参与，期待更多精彩内容！
2025-2-25 11:09
蓝色水瓶
感谢你的积极参与，期待更多精彩内容！
2025-2-24 22:08
troublebao
谢谢你的细致分析，受益匪浅！
2025-2-24 16:39
雅鸦歌
谢谢你的细致分析，受益匪浅！
2025-2-24 16:01
mb_aoooaosd
感谢你的贡献，论坛因你而更加精彩！
2025-2-22 19:34
Cr0ssx2
你的分享对大家帮助很大，非常感谢！
2025-2-21 15:32
mb_dmmgrgze
感谢你分享这么好的资源！
2025-2-20 01:04
mb_eeigcyob
你的帖子非常有用，感谢分享！
2025-2-19 18:09
Kr1s
你的分享对大家帮助很大，非常感谢！
2025-2-19 13:40
sice
感谢你的贡献，论坛因你而更加精彩！
2025-2-19 05:48
顽劣
你的分享对大家帮助很大，非常感谢！
2025-2-18 10:52
古月浪子
为你点赞！
2025-2-18 10:21
appview
非常支持你的观点！
2025-2-18 09:31
Weirdo.
+1
感谢你的积极参与，期待更多精彩内容！
2025-2-18 00:21
wogao
+1
感谢你分享这么好的资源！
2025-2-17 19:50
mb_cqemmwoj
谢谢你的细致分析，受益匪浅！
2025-2-16 08:25
kishou_yusa
感谢你的积极参与，期待更多精彩内容！
2025-2-15 19:43
iCookiie
为你点赞！
2025-2-14 02:42
周游列国
+1
谢谢你的细致分析，受益匪浅！
2025-2-13 09:39
asdll
这个讨论对我很有帮助，谢谢！
2025-2-12 19:41
mb_mvziuxxh
你的帖子非常有用，感谢分享！
2025-2-12 19:12
longloo
感谢你分享这么好的资源！
2025-2-12 16:18
mb_gkeinmif
你的分享对大家帮助很大，非常感谢！
2025-2-10 03:56
孤独的街
为你点赞！
2025-2-10 00:54
mb_qvxjmcan
为你点赞！
2025-2-9 11:47
lanoche
为你点赞！
2025-2-8 08:11
Dem0li
为你点赞！
2025-2-7 22:11
梧桐生
感谢你分享这么好的资源！
2025-2-7 01:03
久处不厌557
这个讨论对我很有帮助，谢谢！
2025-2-6 16:30
dabaisuv
这个讨论对我很有帮助，谢谢！
2025-2-6 15:16
nevinhappy
期待更多优质内容的分享，论坛有你更精彩！
2025-2-2 22:13
zxk1ng
你的分享对大家帮助很大，非常感谢！
2025-2-1 21:49
肥一闪
+1
谢谢你的细致分析，受益匪浅！
2025-1-31 20:54
gegon
你的分享对大家帮助很大，非常感谢！
2025-1-31 09:46
sinker_
为你点赞！
2025-1-28 09:25
Melanthe
感谢你分享这么好的资源！
2025-1-27 11:21
漠舟
你的帖子非常有用，感谢分享！
2025-1-25 21:12
飞飞非反
非常支持你的观点！
2025-1-24 16:22
徽墨写代码
期待更多优质内容的分享，论坛有你更精彩！
2025-1-24 09:45
MochaCo
非常支持你的观点！
2025-1-24 02:32
LXIN_520
+2
这个讨论对我很有帮助，谢谢！
2025-1-23 17:36
一直奔跑
你的帖子非常有用，感谢分享！
2025-1-23 10:45
简单的简单
这个讨论对我很有帮助，谢谢！
2025-1-23 10:22
无情铁手
非常支持你的观点！
2025-1-22 21:42
dreameriii
期待更多优质内容的分享，论坛有你更精彩！
2025-1-22 19:28
la0shiren
非常支持你的观点！
2025-1-22 18:04
GitRoy
你的帖子非常有用，感谢分享！
2025-1-22 16:38
龙飞雪
感谢你的贡献，论坛因你而更加精彩！
2025-1-22 14:45
ChuXinﻬ.
感谢你的积极参与，期待更多精彩内容！
2025-1-22 09:50
mb_xawbizfi
你的帖子非常有用，感谢分享！
2025-1-21 19:34
conlin
谢谢你的细致分析，受益匪浅！
2025-1-21 16:40
wx_Dispa1r
期待更多优质内容的分享，论坛有你更精彩！
2025-1-21 15:18
大帅锅
感谢你的积极参与，期待更多精彩内容！
2025-1-21 15:15
mb_pfpfojse
你的帖子非常有用，感谢分享！
2025-1-21 15:12
cdline
感谢你的贡献，论坛因你而更加精彩！
2025-1-21 15:09
哆啦噩梦
非常支持你的观点！
2025-1-21 10:19
ptr1234565
非常支持你的观点！
2025-1-20 20:27
wx_funcrever
为你点赞！
2025-1-20 16:25
mb_rjdrqvpa
你的分享对大家帮助很大，非常感谢！
2025-1-20 15:58
mb_iesvmzqc
非常支持你的观点！
2025-1-20 15:18
GloryRef
为你点赞！
2025-1-20 13:06
xxxxxxy
非常支持你的观点！
2025-1-20 11:36
ke3l
这个讨论对我很有帮助，谢谢！
2025-1-20 09:39
mb_ybdyagsx
+1
感谢你的积极参与，期待更多精彩内容！
2025-1-20 01:43
北门观雪
这个讨论对我很有帮助，谢谢！
2025-1-20 00:02
绝对小白
你的分享对大家帮助很大，非常感谢！
2025-1-19 20:15
小菜鸟一
非常支持你的观点！
2025-1-19 07:51
mb_lgbrcvmf
这个讨论对我很有帮助，谢谢！
2025-1-18 22:15
令狐双
为你点赞！
2025-1-18 20:26
Ive_406746
你的帖子非常有用，感谢分享！
2025-1-18 17:56
夏男人
期待更多优质内容的分享，论坛有你更精彩！
2025-1-18 17:33
边缘
感谢你的积极参与，期待更多精彩内容！
2025-1-18 12:31
wx_墨_198
感谢你分享这么好的资源！
2025-1-17 18:09
SoulCat_
为你点赞！
2025-1-17 17:29
SharsDela
+1
感谢你分享这么好的资源！
2025-1-17 16:08
mb_oowzftna
期待更多优质内容的分享，论坛有你更精彩！
2025-1-17 15:24
烬奇小云
感谢你的贡献，论坛因你而更加精彩！
2025-1-17 13:02
NPC2000
你的分享对大家帮助很大，非常感谢！
2025-1-17 12:25
陈某人
你的帖子非常有用，感谢分享！
2025-1-17 11:04
oMasko
为你点赞！
2025-1-17 10:12
Ram98
谢谢你的细致分析，受益匪浅！
2025-1-17 09:48
微笑:)
期待更多优质内容的分享，论坛有你更精彩！
2025-1-17 08:45
zhengcai
这个讨论对我很有帮助，谢谢！
2025-1-16 17:20
wx_byte
感谢你的贡献，论坛因你而更加精彩！
2025-1-16 15:09
mb_yftogafn
+1
你的分享对大家帮助很大，非常感谢！
2025-1-16 14:22
Nanda
感谢你的贡献，论坛因你而更加精彩！
2025-1-16 14:19
Lightal
感谢你的积极参与，期待更多精彩内容！
2025-1-16 14:17
sun-shine
你的分享对大家帮助很大，非常感谢！
2025-1-16 14:08
pexillove
这个讨论对我很有帮助，谢谢！
2025-1-16 14:07
值得怀疑
谢谢你的细致分析，受益匪浅！
2025-1-16 12:46
码小芹
期待更多优质内容的分享，论坛有你更精彩！
2025-1-16 11:44
mb_jonavsjj
谢谢你的细致分析，受益匪浅！
2025-1-16 11:34
FANGG3
这个讨论对我很有帮助，谢谢！
2025-1-16 11:25
伟叔叔
非常支持你的观点！
2025-1-16 10:30
fishod
你的分享对大家帮助很大，非常感谢！
2025-1-16 10:28
默NJ
你的帖子非常有用，感谢分享！
2025-1-16 09:07
asd
谢谢你的细致分析，受益匪浅！
2025-1-15 22:19
王麻子本人
你的帖子非常有用，感谢分享！
2025-1-15 21:51
lialong
这个讨论对我很有帮助，谢谢！
2025-1-15 21:15
saykao
感谢你的积极参与，期待更多精彩内容！
2025-1-15 21:07
便胜晴天
你的分享对大家帮助很大，非常感谢！
2025-1-15 20:38
mb_wpitiize
+1
你的帖子非常有用，感谢分享！
2025-1-15 19:57
coderL
感谢你的贡献，论坛因你而更加精彩！
2025-1-15 19:46
mb_cbitsgsv
为你点赞！
2025-1-15 19:37
frankyxu
你的分享对大家帮助很大，非常感谢！
2025-1-15 19:15
MsScotch
请注意发帖规范，保持良好的讨论环境！
2025-1-15 19:03
ngiokweng
感谢你分享这么好的资源！
2025-1-15 18:44
zxhk
为你点赞！
2025-1-15 18:31
huangyalei
期待更多优质内容的分享，论坛有你更精彩！
2025-1-15 17:47
不呲咔呲
你的分享对大家帮助很大，非常感谢！
2025-1-15 17:45
VIPJK
为你点赞！
2025-1-15 17:43
mb_asiwnxyv
感谢你的贡献，论坛因你而更加精彩！
2025-1-15 17:05
黑的默
感谢你的贡献，论坛因你而更加精彩！
2025-1-15 16:25
陈可牛
为你点赞！
2025-1-15 16:23
mb_fywmigrm
感谢你的积极参与，期待更多精彩内容！
2025-1-15 16:09
岁月。
这个讨论对我很有帮助，谢谢！
2025-1-15 16:05
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
受教了，谢谢大佬 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
有什么attd的资料吗 |
|
|
最后于 2025-2-12 21:01
被method编辑
，原因：
|
|
|
|
|
|
|
