花指令的模式识别以及处理

前言:

花指令的出现主要是防止软件被反编译，加大逆向分析的难度，在一些代码中插入一些脏字节

为啥我要写呢，因为面试的时候也碰到了，虽然我都答出来了，但是特意过来记个笔记2333

一.花指令的分类

1. 可执行的花指令

之前在西电的ctf上，就碰到一题，只是为了混淆视听而已，实际上根本不会执行，

加大你静态分析的难度，那题是在源码级上搞，还有那种在汇编级上push一下

，再pop一下，这种看似没什么用的操作同理

2. 不可执行的花指令

这里要总结几种汇编层面上的花指令模式，很大程度是因为ida无法联系上下文233

1.jx+jnx

这个就不用多说了吧，很常见的一种花指令了，这里jnz实际上是fake的，因为jz这个指令，让ida

认为jz下面的是另外一个分支，所以这里去除，就是将jnz下面包括jnz 全c了，然后把loc_402669+1

的字节码全给nop了，f5就管用了

2. call pop / add esp

 这里call指令，其实本质就是jmp&push 下一条指令的地址，但是这里其实就是一个jmp指令

所以 push这条指令是多余的，需要add esp,4 调