-
-
[原创]基于trace处理非标准算法
-
发表于: 2025-9-26 17:53
-
继上篇文章，现在我们来处理非标准算法，尽量简单易懂让所有人理解
在大厂样本里，遇到魔改标准算法的概率几乎 100%，每家都会做；遇到白盒加密的概率 30%，在ks、mt、sgmain、qq、xhs等多家样本中都遇到了白盒 AES；遇到小众算法的概率 30%， belt、simon、twofish 等算法，出现在了mt、dy、ks等样本里；遇到自定义算法（是真的自定义算法，而不是某种没被认出来的小众算法）的概率不到 10%。
分析思路是由果溯因，大白话就是从结果开始往前追数据的来源，遇到理解不了的算法，只能当成自定义算法处理，分析者的过往经验和知识就基本报废了。
追溯数据源，龙哥发过很多篇文章这里就不讲了
这下只有2种办法了
1.通过unidbg执行这个算法函数来做rpc
这样做第一个不需要补初始化和各种依赖，so init函数都可以直接关闭，直接加载so进去就行，第二个只跑算法函数一般也不需要补环境，省事
但是可能涉及到参数的内存操作和处理，函数调用也变成了module.callFunction，因为我们trace了函数 ，所以我们对unidbg有着精准的掌控，甚至可以直接删除其中的指令达到效果
看我文章的默认百万汇编分析起步，这些就不多说了
2.算法还原
还原自定义算法，有插件还原的，有trace还原的，有ai还原的，ai都能写vm反汇编器了，外面文章也比较多就不赘述了
这里讲讲如何验证自己算法的正确性
一个算法一般有多个不同功能的函数组成
最后于 2025-10-11 11:27
被蜕无痕编辑
，原因：
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
