[原创][推荐][原创]用奥卡姆剃刀解决 ollvm 间接跳转和函数调用-Android安全-看雪安全社区

# 背景

[上篇介绍了 native 去混淆中字符串加解密的技巧](https://bbs.kanxue.com/thread-289439.htm)，本篇聚焦去除 native 中的间接跳转（indirect jump）和间接函数调用（indirect call）混淆。这类混淆经常被大厂 APP 使用，用以增加静态分析的难度和时间成本。

间接跳转与间接调用的本质是隐藏静态控制流：静态分析无法直接得知某条跳转或调用会落到哪个目标。最直接的思路是让程序运行一次，记录实际执行时的跳转/调用目标，然后把这些目标 patch 回二进制，从而恢复可读的控制流。

本文介绍两种简单、高效且实践可行的“暴力”修复思路，无需完整模拟环境或复杂的符号化执行：

- 方法1：暴力 NOP（快速但破坏分支信息）
- 方法2：利用 Frida 批量 hook（更精确，但依赖实际执行路径）

对间接跳转与间接调用实现感兴趣的朋友，可以参考 ollvm 混淆项目：
a09K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6w2L8$3#2A6e0h3!0W2i4K6u0r3b7i4u0C8j5i4u0A6
5d5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8h3W2E0L8#2)9J5c8X3N6G2M7X3!0F1
1ddK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6p5M7X3g2S2L8g2y4G2N6h3I4W2i4K6u0r3L8$3I4D9N6X3@1I4y4H3`.`.

---

# 方法1：暴力 NOP

思路概述：

对于只需还原“大体执行逻辑”而不关心精确分支行为的场景，可以直接把函数内的所有 BR/BLR（或类似的间接跳转/调用指令）替换为 NOP，然后合并基本块。这样静态反编译会把原本被混淆的控制流线性化，便于快速查看调用关系与整体逻辑。

适用场景：
- 想快速定位函数调用、数据访问，而不要求分支精确还原；
- 分析时间紧张，需要先得到可读伪代码以便后续调查。

优缺点：
- 优点：快捷、无需运行环境或动态跟踪；
- 缺点：破坏原始控制流，条件分支（if/while）将丢失，导致反编译器无法恢复分支语义。

具体流程（推荐步骤）：
1. 在 IDA 中把光标移动到目标函数入口；
2. 运行脚本 fix_blr_2_nop.py ，脚本会：
   - 从函数入口向后扫描到下一个 RET（或函数结束）位置；
   - 列出这一区间内的 BR 指令地址；
   - 将这些指令 patch 为 NOP 并尝试合并基本块；
3. 刷新反编译（F5）观察伪代码并继续人工分析。

示例截图：

![](upload/attach/202512/719252_QFG23W7W2NBTT8E.webp)

运行脚本并合并基本块后的效果（可以看到这里还用到了间接函数调用保护）：
 ![](upload/attach/202512/719252_TBYCY3N7Z3CVF7E.webp)

# 方法2：使用 Frida 批量 Hook（更精确）

思路概述：

通过静态分析先定位所有可能的间接跳转/调用指令（BR、BLR 等），自动生成 Frida hook 脚本，在运行时捕获这些指令的实际目标地址（通常以模块基址的相对偏移记录）。把运行时采集到的目标地址写入日志后，使用 IDA Python 脚本把原来的间接跳转/调用 patch 为直接跳转/调用（或直接把目标地址写回），从而尽可能恢复原始控制流。

优缺点：
- 优点：能恢复很多实际执行过的跳转/调用，得到更准确的控制流；
- 缺点：不能覆盖未执行到的路径；条件跳转对应的分支如果未走到也无法修复；需要可运行环境并能加载目标 SO。

具体流程 ：
1. 静态定位目标指令：在 IDA 中扫描待修复函数，记录 BR/BLR 指令地址；
2. 自动生成 Frida 脚本：ALT+F7运行脚本 `toolchain_trace_indirect_jumps.py` 生成一个包含所有待 hook 地址的 Frida 脚本；
3. 调整脚本：把脚本中的模块名改为你要分析的 so 名称，确认 log 输出格式（建议输出模块偏移、指令地址、寄存器值等）；
4. 启动被测进程并注入（建议使用 spawn 模式以便在早期捕获流程）：
   - 使用 Frida 的 spawn + resume 或 frida -f 来启动并注入；
   - 让程序执行到这些间接跳转/调用位置；
1. 保存日志：把 Frida 的输出保存为文本文件；
2. 在 IDA 中运行补丁脚本：使用 fix_indirect_jump.py（或自写脚本）解析日志并将间接跳转/调用替换为直接跳转/调用或填写目标地址；
3. 刷新反编译查看修复结果并人工验证。

示例流程截图：
静态分析 修复前的控制流与伪代码：
 ![](upload/attach/202512/719252_SKA8MPQGVBU9TVG.webp)

运行 fix_blr_2_nop.py 作为预处理（可选）：
 ![](upload/attach/202512/719252_DKYTHHGW9QZJQX8.webp)

生成 Frida hook 脚本：
 ![](upload/attach/202512/719252_V6RYCMAJA7PRASV.webp)

调整脚本中的模块名并以 spawn 模式注入：
 ![](upload/attach/202512/719252_HWH4JC37CUTQNZF.webp)
 ![](upload/attach/202512/719252_YFJ9GETYTUXF683.webp)

将 Frida 输出保存到日志文件，运行IDA 脚本 fix_indirect_jump.py 解析并 patch：
 ![](upload/attach/202512/719252_25YRNNG4EMFZ34H.webp)

补丁生效后刷新伪代码：
 ![](upload/attach/202512/719252_XD48QG8PB9DJF3V.webp)

小提示与实践建议：
- 先用方法1 快速线性化函数，得到可读伪代码，再针对剩余的间接函数调用用方法2 精修；
- 确保 Frida hook 输出包含模块相对偏移；
- 对于未执行到的分支，可以考虑构造输入或模拟路径以触发更多分支，但工作量会增加；
- patch 不满意，可以Ctl + ALT +  P 打开补丁界面，把补丁删除后，F5刷新。

# 推荐工作流（结合使用）

1. 先用方法1 对关键函数进行快速线性化，快速定位调用链与数据流；
2. 对仍保留大量间接调用的位置，生成 Frida hook 并运行获取实际目标；
3. 用 IDA Python 将运行时采集的目标 patch 回文件；
4. 手工检查复杂分支和关键算法，必要时结合动态调试、符号化执行或手工分析恢复剩余逻辑。

# 总结

本文给出两种“暴力但实用”的思路来处理基于 ollvm 的间接跳转与间接函数调用混淆：
1. 方法1（暴力 NOP）适合快速获得可读伪代码，节省时间；
2. 方法2（Frida 批量 hook）能更精确地恢复实际执行路径但依赖于程序运行时覆盖到相关分支。

两者结合使用，通常能大幅降低分析成本并较好地恢复可读控制流。

代码仓库： <a href="elink@364K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8h3t1@1k6r3@1@1L8W2)9J5c8V1c8W2j5h3c8D9P5g2)9J5k6o6x3H3x3o6l9`.">cd6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8h3t1@1k6r3@1@1L8W2)9J5c8V1c8W2j5h3c8D9P5g2)9J5k6o6x3H3x3o6l9`.</a>

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-12-14 14:14 被dreameriii编辑，原因：链接

#逆向分析 #脱壳反混淆

最新回复 (85) 1 2 3 4 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2025-12-14 22:26 0
夜惜风雨雪币： 95 活跃值： (3767) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 155 粉丝 0 关注私信	夜惜风雨 3 楼 666666666666 2025-12-14 23:14 0
wx_huhu_859 雪币： 260 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 125 粉丝 1 关注私信	wx_huhu_859 4 楼 11 2025-12-15 02:08 0
黑屏雪币： 5508 活跃值： (5839) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 2 关注私信	黑屏 5 楼 66666 2025-12-15 08:13 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 6 楼 tql 2025-12-15 09:16 0
GEKEZYX 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 157 粉丝 0 关注私信	GEKEZYX 7 楼 6666 2025-12-15 09:51 0
lookzo 雪币： 216 活跃值： (3517) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 610 粉丝 3 关注私信	lookzo 8 楼 6666 2025-12-15 10:08 0
丶咖啡猫丶雪币： 2769 活跃值： (3986) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 178 粉丝 4 关注私信	丶咖啡猫丶 9 楼 666 2025-12-15 10:13 0
chionyuna 雪币： 660 活跃值： (3013) 能力值： ( LV3，RANK：25 ) 在线值：发帖 3 回帖 50 粉丝 59 关注私信	chionyuna 10 楼 666 2025-12-15 11:18 0
xianhuimin 雪币： 9341 活跃值： (6228) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 231 粉丝 2 关注私信	xianhuimin 11 楼学习学习 2025-12-15 14:35 0
快乐的小跳蛙雪币： 930 活跃值： (5422) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 87 粉丝 3 关注私信	快乐的小跳蛙 12 楼看看 2025-12-15 19:12 0
cobe 雪币： 309 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 89 粉丝 0 关注私信	cobe 13 楼 666 2025-12-16 15:21 0
司徒废人雪币： 1618 活跃值： (2700) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 52 粉丝 5 关注私信	司徒废人 14 楼 666 2025-12-16 15:33 0
mb_rrwegvyc 雪币： 275 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	mb_rrwegvyc 15 楼 69666 2025-12-16 17:06 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 16 楼 666 2025-12-17 09:10 0
asuralove 雪币： 71 活跃值： (1968) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 118 粉丝 2 关注私信	asuralove 17 楼 666 2025-12-17 09:41 0
godiand 雪币： 3 活跃值： (1264) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 56 粉丝 0 关注私信	godiand 18 楼你的帖子非常有用，感谢！ 2025-12-17 17:31 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 19 楼 fd 2025-12-17 19:49 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 20 楼直接trace，blr和br打印调用 2025-12-17 19:50 0
MaYil 雪币： 9446 活跃值： (8072) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 21 楼感谢分享 2025-12-17 21:01 0
Heiyiren123 雪币： 223 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 1 关注私信	Heiyiren123 22 楼学习 2025-12-18 05:42 0
mb_euhyowpw 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	mb_euhyowpw 23 楼 666 2025-12-18 11:08 0
Sigil 雪币： 216 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 56 粉丝 0 关注私信	Sigil 24 楼 1 2025-12-18 11:29 0
嘎嘎真的很棒雪币： 716 活跃值： (3812) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 161 粉丝 7 关注私信	嘎嘎真的很棒 25 楼 666 2025-12-18 11:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复