[原创] LTV-taint-Android安全-看雪安全社区｜专业技术交流与安全研究论坛

# 目标

本来做污点是想减少llm 手动检索的心智负担的，没想到进化这么快，1m上下文感觉干搜也够了

-[x] 重构后端cli，分离搜索逻辑和参数处理
-[x] 修改trace格式，适配污点分析
-[o] 正向/反向污点
-[ ] polars 进行指令频率分析，找计算指令密集处定位vm
-[ ] 切分基本块，重建cfg，分析流程循环
-[ ] 接入rizin增强功能
-[ ] 污点提供mcp
-[ ] gui重构优化

# 对于trace格式的要求

使用类似csv的格式

结构: `绝对地址`;`so 偏移`;`机器码`;`指令`;`寄存器操作`;`regs_read`;`mem.base_index_disp`;`mem_access_info`;`regs_write`;`func_call`(可选);`可视化字符`(可选);

实际上只要处理成结构化的数据就可以，方便解析，方便处理

```text
6d2d694db0;51db0;d10203ff;sub;sp, sp, #0x80;rr__sp=0x6cf0157aa0;;;rw__sp=0x6cf0157a20;
6d2d694db4;51db4;f9002bf5;str;x21, [sp, #0x50];rr__x21=0x6cf0158710;mw__6cf0157a20_#0x50;st__6cf0157a70_8;;
6d2d694db8;51db8;a9064ff4;stp;x20, x19, [sp, #0x60];rr__x20=0x6d2d99f8e0_x19=0x6cf0158b88;mw__6cf0157a20_#0x60;st__6cf0157a80_16;;
6d2d694dbc;51dbc;a9077bfd;stp;x29, x30, [sp, #0x70];rr__fp=0x6cf0158b60_lr=0x6d2d9a6038;mw__6cf0157a20_#0x70;st__6cf0157a90_16;;
6d2d694dc0;51dc0;9101c3fd;add;x29, sp, #0x70;rr__sp=0x6cf0157a20;;;rw__fp=0x6cf0157a90;
6d2d694dc4;51dc4;d53bd055;mrs;x21, tpidr_el0;;;;rw__x21=0x6cf0159000;
6d2d694dc8;51dc8;f94016a8;ldr;x8, [x21, #0x28];;mr__6cf0159000_#0x28;ld__6cf0159028_8;rw__x8=0x46fcad3c17d8108c;
6d2d694dcc;51dcc;6f00e400;movi;v0.2d, #0000000000000000;;;;rw__v0=0x6dd3fe01e8;
6d2d694dd0;51dd0;52802009;mov;w9, #0x100;;;;rw__w9=0x100;
6d2d694dd4;51dd4;5280004a;mov;w10, #2;;;;rw__w10=0x2;
6d2d694dd8;51dd8;f81d83a8;stur;x8, [x29, #-0x28];rr__x8=0x46fcad3c17d8108c;mw__6cf0157a90_#-0x28;st__6cf0157a68_8;;
6d2d694ddc;51ddc;f9401408;ldr;x8, [x0, #0x28];;mr__6cf01586a0_#0x28;ld__6cf01586c8_8;rw__x8=0x0;
6d2d694de0;51de0;3c8083e0;stur;q0, [sp, #8];rr__q0=0x0x00000000000000000000000000000000;mw__6cf0157a20_#0x8;st__6cf0157a28_16;;
6d2d694de4;51de4;3c8183e0;stur;q0, [sp, #0x18];rr__q0=0x0x00000000000000000000000000000000;mw__6cf0157a20_#0x18;st__6cf0157a38_16;;
6d2d694de8;51de8;f90017e9;str;x9, [sp, #0x28];rr__x9=0x100;mw__6cf0157a20_#0x28;st__6cf0157a48_8;;
6d2d694dec;51dec;b90043ea;str;w10, [sp, #0x40];rr__w10=0x2;mw__6cf0157a20_#0x40;st__6cf0157a60_4;;
6d2d694df0;51df0;b90033ff;str;wzr, [sp, #0x30];rr__wzr=0x0;mw__6cf0157a20_#0x30;st__6cf0157a50_8;;
6d2d694df4;51df4;f90003e8;str;x8, [sp];rr__x8=0x0;mw__6cf0157a20;st__6cf0157a20_8;;
6d2d694df8;51df8;f9001fff;str;xzr, [sp, #0x38];rr__xzr=0x0;mw__6cf0157a20_#0x38;st__6cf0157a58_8;;
6d2d694dfc;51dfc;f9400028;ldr;x8, [x1];;mr__6cf01583b0;ld__6cf01583b0_8;rw__x8=0x6f1c451790;
6d2d694e00;51e00;d284c00a;mov;x10, #0x2600;;;;rw__x10=0x2600;
6d2d694e04;51e04;aa0103f4;mov;x20, x1;rr__x1=0x6cf01583b0;;;rw__x20=0x6cf01583b0;
6d2d694e08;51e08;aa0003f3;mov;x19, x0;rr__x0=0x6cf01586a0;;;rw__x19=0x6cf01586a0;
6d2d694e0c;51e0c;52800029;mov;w9, #1;;;;rw__w9=0x1;
6d2d694e10;51e10;f2c0002a;movk;x10, #1, lsl #32;rr__x10=0x2600;;;rw__x10=0x100002600;
6d2d694e14;51e14;3940010b;ldrb;w11, [x8];;mr__6f1c451790;ld__6f1c451790_1;rw__w11=0x7b;
6d2d694e18;51e18;7100817f;cmp;w11, #0x20;;;;rw__w11=0x7b;
6d2d694e1c;51e1c;540000c8;b.hi;#0x6d2d694e34(51e34);;;;;
6d2d694e34;51e34;f9000288;str;x8, [x20];rr__x8=0x6f1c451790;mw__6cf01583b0;st__6cf01583b0_8;;
6d2d694e38;51e38;39400109;ldrb;w9, [x8];;mr__6f1c451790;ld__6f1c451790_1;rw__w9=0x7b;
6d2d694e3c;51e3c;34000789;cbz;w9, #0x6d2d694f2c;rr__w9=0x7b;;;;
6d2d694e40;51e40;910003e0;mov;x0, sp;rr__sp=0x6cf0157a20;;;rw__x0=0x6cf0157a20;
6d2d694e44;51e44;aa1403e1;mov;x1, x20;rr__x20=0x6cf01583b0;;;rw__x1=0x6cf01583b0;
6d2d694e48;51e48;aa1303e2;mov;x2, x19;rr__x19=0x6cf01586a0;;;rw__x2=0x6cf01586a0;
6d2d694e4c;51e4c;94000042;bl;#0x6d2d694f54(51f54);;;;;
6d2d694f54;51f54;f9400028;ldr;x8, [x1];;mr__6cf01583b0;ld__6cf01583b0_8;rw__x8=0x6f1c451790;
6d2d694f58;51f58;39400108;ldrb;w8, [x8];;mr__6f1c451790;ld__6f1c451790_1;rw__w8=0x7b;
6d2d694f5c;51f5c;7101b91f;cmp;w8, #0x6e;;;;rw__w8=0x7b;
```

效果图, 由于对ltv的底层进行了大量优化，追踪十多层带分叉大概2秒不到; trace文件大几百mb，不到1G

![](upload/attach/202603/991803_7JFAZTW9HGT5YZS.webp)

# 反向污点 (doing)

把指令划分为几种类型
`mem2reg`, `reg2mem`, `mem2mem`, `reg2reg`

主要问题是 不同类型寄存器以及不同长度内存读写怎么对齐传递路径

正向污点同理规则稍微不同，但大体还是复用代码

## 1.[mem2reg]

### 1.1[常规情况]
```
6d2d694e38;51e38;39400109;ldrb;w9, [x8];;mr__6f1c451790;ld__6f1c451790_1;rw__w9=0x7b;
```
很明显 只要`find_prev` "st__6f1c451790_" 就能定位到上一条语句

### 1.2[单寄存器;启发式搜索]
```
6d2d694dc8;51dc8;f94016a8;ldr;x8, [x21, #0x28];;mr__6cf0159000_#0x28;ld__6cf0159028_8;rw__x8=0x46fcad3c17d8108c;
```
`ld__6cf0159028_8` 
1. 优先直接搜索 `st__6cf0159028` 
2. 搜索被覆写的情况 `st__6cf0159020_16`(stp x1,x2; str q0) 或 `st__6cf0159010_32`(stp q0)

### 1.3[双寄存器;启发式搜索]
```
 6d2d6959c8;529c8;a94022a9;ldp;x9, x8, [x21];;mr__6ccbf25fe0;ld__6ccbf25fe0_16;rw__x9=0x10000_x8=0x1e8;
```
如果目标是x8 (寄存器2) 则
1. 优先启发式搜索 `st__6ccbf25fe8_`
2. 搜索被覆写的情况 `st__6ccbf25fe0_16`, `st__6cf01590d0_32`

### 1.4[单寄存器;来自多个内存拼起来]
```
6d2d694ecc;51ecc;3cde8100;ldur;q0, [x8, #-0x18];;mr__6f5c29c538_#-0x18;ld__6f5c29c520_16;rw__q0=0x0x0100000001000000e061f2cb6c000000;
```

q0=0x0x0100000001000000e061f2cb6c000000 的值实际上来自 两个 `w` 一个 `x` 寄存器, 4+4+8
这种情况会比较复杂；如果遇到交叉覆写的情况就头大了；可以自己思考下解决办法

## 2.[reg2mem]

很简答，没啥说的

### 2.1 [单寄存器]
```
6d2d695d50;52d50;f90006a8;str;x8, [x21, #8];rr__x8=0x188;mw__6ccbf25fe0_#0x8;st__6ccbf25fe8_8;;
```
直接继续追 `rw__.*8=0x188` 就可以了

### 2.2 [多寄存器]
```
6d2d6964b0;534b0;a9bc5ff8;stp;x24, x23, [sp, #-0x40]!;rr__x24=0x6cf0159000_x23=0x6cf0157a20;mw__6cf01578c0_#-0x40;st__6cf0157880_16;;
```
要根据上一次搜索的实际内存范围来决定；比如实际目标内存是 `6cf0157880:8` 那就是`reg1`，如果是 `6cf0157888:8` 那就追`reg2`

搜 `rw__.*reg_num=reg_value`

## 3.reg2reg
一般情况是进行计算

### 3.1 [不分支]
```
6d2d6964d8;534d8;91006008;add;x8, x0, #0x18;rr__x0=0x6f5c29c5c8;;;rw__x8=0x6f5c29c5e0;
```
简单，也不用考虑计算过程，直接无脑追就行，搜`rw__.*0=0x6f5c29c5c8`。记录下来后面拿求解器分析

### 3.2 [双分支;reg1,reg2都不是常数]
```
6d2d695a20;52a20;8b130108;add;x8, x8, x19;rr__x8=0x188_x19=0x60;;;rw__x8=0x1e8;
```
在此分支，深度优先搜索，但要限制层数

## 4.[mem2mem]
一般是通过memcpy函数进行的，TODO

# ref
原型是在010上做的，但果然还是自己可控的环境更好
<a href="elink@2feK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2M7Y4c8A6j5$3I4W2M7#2)9J5k6i4A6K6P5s2q4Q4x3X3g2U0L8$3#2Q4x3V1k6A6k6q4)9#2k6Y4S2H3x3h3N6S2k6h3k6U0j5K6y4S2L8W2)9J5k6h3S2@1L8h3H3`.">010脚本自动分析trace</a>

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-3-5 22:57 被温泉划水鱼编辑，原因：

#逆向分析 #协议分析 #工具脚本

最新回复 (63) 1 2 3 ▶
Sigil 雪币： 216 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 56 粉丝 0 关注私信	Sigil 2 楼 123 2026-3-6 03:20 0
didiid 雪币： 2 活跃值： (2356) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 122 粉丝 0 关注私信	didiid 3 楼 111 2026-3-6 13:36 0
k4y0z 雪币： 325 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 144 粉丝 1 关注私信	k4y0z 4 楼 666 2026-3-6 13:39 0
ldehua 雪币： 158 活跃值： (2736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 111 粉丝 0 关注私信	ldehua 5 楼 666 2026-3-6 23:28 0
SInnon 雪币： 0 活跃值： (785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 0 关注私信	SInnon 6 楼 666666666666666666666666666 2026-3-7 14:39 0
xxxxxxx_798269 雪币： 1014 活跃值： (192) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 6 关注私信	xxxxxxx_798269 7 楼 9 2026-3-7 21:51 0
xxjj678 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 83 粉丝 1 关注私信	xxjj678 8 楼 666 2026-3-7 22:34 0
qig 雪币： 47 活跃值： (840) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 56 粉丝 1 关注私信	qig 9 楼 666 2026-3-8 17:06 0
FMNS 雪币： 9 活跃值： (2036) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 124 粉丝 1 关注私信	FMNS 10 楼 666 2026-3-9 03:03 0
ATrueMan 雪币： 1048 活跃值： (1685) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 89 粉丝 14 关注私信	ATrueMan 11 楼 study 2026-3-9 09:21 0
huangjw 雪币： 6750 活跃值： (11967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 515 粉丝 2 关注私信	huangjw 12 楼 2026-3-17 09:22 0
ulong9527 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 67 粉丝 0 关注私信	ulong9527 13 楼 66 2026-3-21 01:02 0
iBa0 雪币： 1901 活跃值： (5948) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 493 粉丝 37 关注私信	iBa0 14 楼 123 2026-3-24 20:45 0
long_ 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	long_ 15 楼 6 2026-3-26 08:50 0
回忆呵呵雪币： 263 活跃值： (1565) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	回忆呵呵 16 楼支持一下 2026-4-1 10:19 0
XCicada 雪币： 3103 活跃值： (2705) 能力值： ( LV6，RANK：80 ) 在线值：发帖 3 回帖 324 粉丝 101 关注私信	XCicada 2 17 楼 666 2026-4-1 10:26 0
mb_kumzialx 雪币： 745 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 42 粉丝 0 关注私信	mb_kumzialx 18 楼 666 2026-5-23 20:30 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 19 楼状态机回溯问题太多了，转到trace-ui的预分析，def-use路线了 2026-5-25 15:35 0
mb_oqmfwxcf 雪币： 0 活跃值： (45) 能力值： (RANK：0 ) 在线值：发帖 11 回帖 12 粉丝 0 关注私信	mb_oqmfwxcf 20 楼 Android 17的定位按钮功能确实是个不错的创新，既解决了用户对定位权限的敏感问题，又让开发者有了更灵活的实现方式。通过按钮形式，用户可以更直观地控制位置权限，这种设计既提升了用户体验，也增强了 2026-5-29 15:19 0
MaYil 雪币： 9448 活跃值： (8077) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 21 楼感谢分享 2026-5-29 15:34 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 259 粉丝 0 关注私信	mb_cbgtaveo 22 楼 66666666666666666 2026-6-23 01:15 0
buluo533 雪币： 567 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 84 粉丝 1 关注私信	buluo533 23 楼 6666 2026-6-23 08:42 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 708 粉丝 7 关注私信	mb_ldbucrik 24 楼向大佬学习 2026-6-23 09:25 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 25 楼 888 2026-6-23 09:54 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复