[原创]UPX arm64-linux 源码分析修复Unidbg以支持模拟未脱壳的UPX安卓so-Android安全-看雪安全社区

## 概述

通过阅读UPX源码、Unidbg源码，找到了直接模拟未脱壳的UPX安卓so崩溃原因。目前此贡献已被合并至<a href="elink@7b0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6*7K9r3E0D9x3o6t1J5z5q4)9J5c8Y4g2F1K9h3c8T1k6#2)9J5c8X3y4G2L8h3#2A6N6q4)9J5c8U0b7@1k6X3b7^5j5K6t1J5y4U0R3#2k6e0u0S2k6h3g2U0y4h3t1I4j5e0b7I4x3K6R3I4j5h3u0V1z5r3f1K6y4X3y4V1y4h3u0S2x3K6x3`.">上游</a>。

## UPX源码阅读

git版本提交SHA：`611d67542ae0ae9f8128ff121ae2a21ea007261d`

### 压缩阶段

![压缩流程](upload/attach/202603/1059242_U9K7KUT4MEUJC7J.webp)

1. **格式识别与分发** (<a href="elink@b3aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3j5h3y4C8L8h3q4K6N6q4)9J5k6h3y4H3M7l9`.`.">src/packmast.cpp</a>)

- <a href="elink@295K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3j5h3y4C8L8h3q4K6N6q4)9J5k6h3y4H3M7q4)9J5x3K6j5@1i4K6u0V1y4K6j5`.">PackMaster</a> 类通过 <a href="elink@2b8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3j5h3y4C8L8h3q4K6N6q4)9J5k6h3y4H3M7q4)9J5x3K6p5K6y4W2)9J5k6o6p5#2y4l9`.`.">visitAllPackers</a> 遍历所有支持的格式。

![](upload/attach/202603/1059242_494NDYASSHZY4U6.webp)
   - 每个格式（如 <a href="elink@6f0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2Z5i4K6t1K6y4e0p5^5i4K6u0V1y4e0x3@1">PackLinuxElf64amd</a> 或 **<a href="elink@c11K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2Z5i4K6t1K6y4e0x3&6i4K6u0V1y4e0b7H3">PackLinuxElf64arm</a>**）通过 <a href="elink@bdaK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3N6h3&6A6P5q4)9J5k6h3y4H3M7q4)9J5x3K6M7K6i4K6u0V1z5e0f1`.">canPack()</a> 检查输入文件是否可以被压缩。

- 对于 ARM64，它会识别 `EM_AARCH64` 机器码。

2. **准备工作** (<a href="elink@8b6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2U0M7s2l9`.">src/p_lx_elf.cpp</a>, <a href="elink@3c7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3j5h3y4C8k6i4u0Q4x3X3g2U0M7s2l9`.">src/packer.cpp</a>)

- 对于 ARM64，会使用 `ElfLinkerArm64LE`。
   - <a href="elink@838K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2U0M7s2m8Q4x3U0x3@1y4U0t1%4i4K6u0V1y4o6j5K6y4l9`.`.">pack1()</a>：生成新的可执行文件头。对于安卓so，会特别处理 `android_shlib` ，处理符号表和重定位。

3. **数据压缩** (<a href="elink@4bdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3N6h3&6A6P5q4)9J5k6h3y4H3M7l9`.`.">src/p_unix.cpp</a> 中的 <a href="elink@64bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2U0M7s2m8Q4x3U0x3#2y4U0R3J5i4K6u0V1y4e0R3H3x3R3`.`.">pack2</a>)

- UPX 将原文件内容按块（Block）读取。
   - 调用 <a href="elink@f30K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3j5h3y4C8k6i4u0Q4x3X3g2U0M7s2m8Q4x3U0x3I4x3o6p5H3i4K6u0V1x3e0t1I4y4l9`.`.">compressWithFilters()</a> 进行压缩。现在版本一般是NRV算法，也见过LZMA的。

4. **注入解压 Stub** (<a href="elink@a1aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2U0M7s2l9`.">src/p_lx_elf.cpp</a> 中的 <a href="elink@698K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7s2S2Q4x3V1k6#2M7s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3k6r3g2$3k6h3I4Q4x3V1k6K6M7X3y4Q4x3V1k6H3i4K6g2X3L8s2S2Q4y4h3k6W2L8r3k6Q4x3X3g2U0M7s2m8Q4x3U0x3#2y4K6S2Q4x3X3b7%4z5o6p5`.">pack3</a>)

- 从 `src/stub` 提取 ARM64 专用的汇编代码（如 `arm64-linux.elf-entry.S`）和 C 逻辑。
   - 所谓的`stub`是UPX的一段可执行代码，stub本身也是运行时自解压的，是运行时自脱壳的核心。

5. **收尾工作** (`src/p_unix.cpp` 中的 `pack4`)

- 写入 `PackHeader` 信息到文件末尾。
   - 记录 `overlay_offset`，这是加壳后原始压缩数据在文件中的偏移量，供解压 stub 使用。这些地方很容易被魔改，随便改一点基本上就不能`upx -d`脱壳了。

## 运行阶段

![解压流程](upload/attach/202603/1059242_YWGCWCGYC6XB487.webp)

1. **入口启动 (Entry)**

- 运行从 `_start` 开始，首先一次性压所有栈，保护现场。
      - 通过 `memfd_create` 系统调用或降级在 `/dev/shm` 下创建临时文件，用于存放即将解压的第二阶段 Stub 逻辑。

2. **Stub 自解压**

- 初始 Stub 将其自身“折叠（Folded）”部分的 C 逻辑代码解压到上述临时文件中。
      - 通过 `mmap` 将该临时文件映射为可执行内存，并跳转过去。

3. **分析与内存规划** (`do_xmap` 函数)

- 读取压缩时的元数据，使用 `xfind_pages` 预定原始程序的总内存范围。
      - 获取 `AT_PAGESZ` 以确保内存页对齐一致。

4. **循环解压块** (`unpackExtent` 函数)

- 循环解压数据块到原始内存位置。
      - 对 ARM64 指令进行 "unfilter" 处理（还原跳转偏移）。

5. **权限恢复与清理**

- 调用 `mprotect` 恢复内存段权限。

- 使用 ARM64 专用的 `make_hatch_arm64` 创建一段“逃生舱”代码，负责执行 `munmap` 后跳转回原始 OEP。**这就是Unidbg无法直接带壳模拟的原因。**

> 为什么要用“逃生舱”，因为 `munmap` 不能操作自己所在的内存，所以需要申请一块新的，在新内存上操作。

6. **恢复现场**

- 恢复所有寄存器状态并跳转。这是传统的手动脱壳方法的常用点。依稀记得用od调win就是在popad上打个断点然后单步几下找大跳。

> 所有的系统调用均通过`SVC 0`执行，这块东西是直接汇编手搓的

## 分析解决Unidbg报错

根据运行时报错可以定位到如下位置，修改如下。

```diff
ddiff --git a/unidbg-api/src/main/java/com/github/unidbg/spi/AbstractLoader.java b/unidbg-api/src/main/java/com/github/unidbg/spi/AbstractLoader.java
index 756bca92e..a61afef46 100644
--- a/unidbg-api/src/main/java/com/github/unidbg/spi/AbstractLoader.java
+++ b/unidbg-api/src/main/java/com/github/unidbg/spi/AbstractLoader.java
@@ -195,8 +195,13 @@ public final int munmap(long start, int length) {
                 long size = aligned - removed.size;
                 while (size != 0) {
                     MemoryMap remove = memoryMap.remove(address);
+                    if (remove == null) {
+                        log.warn("munmap failed to find adjacent region at address=0x{}", Long.toHexString(address));
+                        break;
+                    }
                     if (removed.prot != remove.prot) {
-                        throw new IllegalStateException();
+                        log.warn("munmap prot mismatch: removed.prot={}, remove.prot={}, address=0x{}", removed.prot, remove.prot, Long.toHexString(address));
                     }
                     address += remove.size;
                     size -= remove.size;
```

根据UPX源码得知：运行时mmap会**一次申请所有段的内存**（防止临近的段被分到别的程序去了），此时这些段的权限必然是各不相同的（参考正常的程序）。因此，在munmap时，就会产生跨不同权限段操作的情况，原来代码中`removed.prot != remove.prot`**必然成立**。这样就会`throw`错误中断。我们仅需把`throw`改为无害的`log warn`即可完美解决此问题。

>  经过测试，原先不能直接模拟的lib，经过这样修改代码可以直接模拟。这完美避免了分析魔改UPX和修复头等工作。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-3-5 10:33 被_0xA1pha编辑，原因：

#系统相关 #基础理论

最新回复 (41) 1 2 ▶
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 2 楼 tql 2026-3-4 17:39 0
Thehepta 雪币： 3601 活跃值： (7420) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 240 粉丝 283 关注私信	Thehepta 3 3 楼 1 2026-3-4 17:40 0
mb_asiwnxyv 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_asiwnxyv 4 楼感谢分享 2026-3-4 19:27 0
myios 雪币： 149 活跃值： (1769) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 61 粉丝 0 关注私信	myios 5 楼 666 2026-3-4 19:47 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 6 楼向大佬学习 2026-3-4 21:04 0
铭天星雪币： 387 活跃值： (1876) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 98 粉丝 22 关注私信	铭天星 7 楼 666 2026-3-4 22:39 0
mb_dmryhnwz 雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 92 粉丝 0 关注私信	mb_dmryhnwz 8 楼 4 2026-3-4 23:58 0
SomeMx 雪币： 4211 活跃值： (5614) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 158 粉丝 1 关注私信	SomeMx 9 楼过来瞧瞧 2026-3-5 01:54 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 10 楼 66 2026-3-5 08:45 0
mb_ysegxpmv 雪币： 2248 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 118 粉丝 0 关注私信	mb_ysegxpmv 11 楼学习一下upx的原理 2026-3-5 09:36 0
win柠初雪币： 156 活跃值： (400) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 38 粉丝 0 关注私信	win柠初 12 楼学习一下upx的原理 2026-3-6 11:29 0
阿C想回老家雪币： 157 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	阿C想回老家 13 楼点赞 2026-3-7 14:40 0
SInnon 雪币： 0 活跃值： (785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 0 关注私信	SInnon 14 楼 66666666666666 2026-3-7 14:45 0
mb_tcheuwvg 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 26 粉丝 0 关注私信	mb_tcheuwvg 15 楼 66666666 2026-3-9 16:44 0
mb_ykavguun 雪币： 1313 活跃值： (1830) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 166 粉丝 0 关注私信	mb_ykavguun 16 楼 11 2026-3-9 17:40 0
xeiyu 雪币： 83 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 56 粉丝 0 关注私信	xeiyu 17 楼 666 2026-3-12 02:15 0
mb_rqlksylg 雪币： 96 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 75 粉丝 0 关注私信	mb_rqlksylg 18 楼 good 2026-3-12 03:27 0
cobe 雪币： 309 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 89 粉丝 0 关注私信	cobe 19 楼 666 2026-3-12 10:40 0
GEKEZYX 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 157 粉丝 0 关注私信	GEKEZYX 20 楼 666 2026-3-13 09:55 0
年lm 雪币： 235 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	年lm 21 楼 666 2026-3-13 23:14 0
asuralove 雪币： 71 活跃值： (1973) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 118 粉丝 2 关注私信	asuralove 22 楼 666 2026-3-21 16:45 0
iBa0 雪币： 1901 活跃值： (5928) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 490 粉丝 37 关注私信	iBa0 23 楼 123 2026-3-22 20:39 0
k4y0z 雪币： 325 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 144 粉丝 1 关注私信	k4y0z 24 楼 666 2026-3-23 10:16 0
小迷糊ddd 雪币： 268 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	小迷糊ddd 25 楼感谢分享，记录学习。 2026-4-5 21:17 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[原创]UPX arm64-linux 源码分析 修复Unidbg以支持模拟未脱壳的UPX安卓so

[原创]UPX arm64-linux 源码分析修复Unidbg以支持模拟未脱壳的UPX安卓so