代码混淆-花指令

• 背景
  • 介绍
    • 花指令通常用来抵御静态分析， 通过花指令混淆的程序， 会扰乱汇编代码的可读性。
    • －在静态分析下， 使反汇编器无法正常解析， 反编译器无法正常反编译。
    • －在反汇编的过程中， 存在一个数据与代码的区分问题。
    • －不同字节码包含的字节数不同， 有单字节指令， 也有多字节指令。
    • －如果首字节是多字节指令， 反汇编器在确定了第一个指令，也就是操作码以后， 就会确定该指令是包含多
    • －少字节码的指令， 然后将这些字节码转化为条汇编指令。
    • 【举个例子，0xE8是x86中call指令的操作码，它后面通常要跟4个字节码，当反汇编器解析到0xE8这个字节码之后，会一一将后4个字节码连同0xE8起转化为一条call指令。】
    • 汇编码(Assembly Code)是用人类可读的汇编语言助记符书写的代码。
    • 机器码(Machine Code)是用硬件可执行的二进制表示的代码。
    • 十六进制码(Hex adecimal Code)是用人类可读的十六进制表示的代码。
• 两类反汇编算法
  • 线性扫描算法
    • 从第一个字节开始， 以线性模式扫描整个代码段， 将一条指令的结束作为另一条指令的开始，逐条反汇编每条指令， 直到完成整个代码段的分析
  • 递归行进算法
    • 对代码可能的执行路径进行扫描， 当解码出分支指令后， 就把这个分支指令的地址记录下来， 并反汇编各个分支 中的指令。
    • 这种算法可以避免将代码中的数据作为指令分析
• 花指令原理
  • 在正常的程序中巧妙嵌入数据， 使得反汇编器在解析的时候，误认为是代码一同解析， 从而在静态分析层面干扰了逆向分析者， 这就是花指令
  • 花指令需要逆向分析者花时间将这些数据从程序中剔除掉， 还原原有正常程序， 从而正常地实现反汇 编和反编译
• 常见混淆手段
  • call，jmp，push类指令形成的混淆
    • 1.call指令混淆
      • CALL OxE8后面的四个字节是地址
    • 2.Jmp类型混淆
      • Jmp OxEB后面的二个字节是偏移
      • JMP OxE9后面的四个字节是偏移
      • JMP OxEA后面的四个字节是绝对地址
    • 3.Jmp/Call esp/rax/rcx 类型混淆
      • JMP/Call esp/rax/rcx OxEA后面跟待跳转寄存器
    • 4.Push esp/rax/rcx/偏移/绝对地址 retn 类型混淆
      • Push ,造成类似函数调用的效果，使反编译程序无法解析出完整反汇编程序,有切片CFG 图的效果
    • 5.垃圾指令【可自定义】等类型混淆
      • 无实质作用，也不影响程序流程，增加冗余