最右ollvm字符串混淆还原

原创 已于 2022-03-06 18:13:52 修改 · 2.6k 阅读 · 15 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#逆向分析

于 2021-03-22 10:47:54 首次发布
部署运行你感兴趣的模型镜像

某apk so层ollvm字符串混淆

本次逆向分析用到的工具：adb、ida、010Editor、ddms。

这次主要对某右的libnet_crypto.so分析,主要工作是分析ollvm混淆的字符串被处理加密。

先检测一下设备是否正常

adb devices

在这里插入图片描述

然后解压apk文件，提取出lib目录下的libnet_crypto.so文件

在这里插入图片描述

armeabi-v7a对应的是32位的ARM设备，调试使用IDA，不要用IDA64

so文件挺大的，编译需要等待一会，看一下字符串，基本都是混淆加密的
在这里插入图片描述

接下来，分析一下JNI_onload

先看一下JNI_onload流程，不是很复杂
在这里插入图片描述

在F5或者空格查看伪代码，代码没什么混淆

在这里插入图片描述

修改参数,静态分析方法

右键选择set lvar type或y修改参数类型
在这里插入图片描述
在下面GetEnv处 选择Force call type识别一下类型在这里插入图片描述

v4是JNIenv * 也修改一下

在这里插入图片描述

下面 FindClass和Registernatives也一下，识别一下类型

点进去查看，没有native方法的对应关系，第一个参数是java层native的方法名称，第二个参数是java层native的签名信息，第三个参数才是对应的c\c++的参数

在这里插入图片描述

根据上面静态分析遇到的问题，接下来的想法是恢复被ollvm加密混淆的字符串信息

打开010Editor，将so文件和elf头文件拖进去

在这里插入图片描述

主要分析数据区域

第一个是程序头，不是关注的，第二个和第三个是关注重点，第二个是只读的，那么根据so文件对字符串进行加解密可以判断ida编译出的混淆字符串属于第三个区域
在这里插入图片描述

这部分区域是被加密处理的

在这里插入图片描述

那对于这个so的还原，就需要dump出解密后的数据，将数据复制到原加密数据位置，完成对字符串解密。

dump的位置可能在JNI_onload 、 init 、 init_aray

ida 附加一下进程，看一下so文件是否被加载

先进行一下android端的配置

找到ida的android_server
在这里插入图片描述

将ida的android_server发送到android

在这里插入图片描述

执行android_server

转发端口
在这里插入图片描述

附加端口，这里先要启动apk

Debugger-> Attach -> Remote ARmlinux\Android debugger

在这里插入图片描述

在Modules发现so文件已经被加载进去了
在这里插入图片描述

那么直接搜索dump内存中解密的字符串数据
在这里插入图片描述

ctrl+s搜 crypto

File->script commond

然后输入命令，替换初始地址和结束地址

在这里插入图片描述

使用010Editor打开，里面的字符串都是解密的

在这里插入图片描述

这是加密的数据，可以对比一下，前六行基本是一致的都是地址。最后一行都是00，这里是相对地址

在这里插入图片描述

这个是解密的数据，前六行都是04 这里是绝对地址。
在这里插入图片描述

复制解密后的数据，到这里为止

请添加图片描述

在鼠标放到如图位置，ctrl+v搞定

在这里插入图片描述

看一下修复后的so文件

看一下Findclass,之前混淆的现在已经解密了

在这里插入图片描述
同样RegisterNatives也是，之前不知道方法的类型和参数，现在都已经解密出来了在这里插入图片描述

总结

这种方法仅适用在内存中解密状态的情况，如果是在使用时解密，解密后在清除，需要使用动态调试。

欢迎关注我的公众号 了解最新文章

在这里插入图片描述

您可能感兴趣的与本文相关的镜像

GPT-SoVITS

GPT-SoVITS

AI应用

GPT-SoVITS 是一个开源的文本到语音（TTS）和语音转换模型，它结合了 GPT 的生成能力和 SoVITS 的语音转换技术。该项目以其强大的声音克隆能力而闻名，仅需少量语音样本（如5秒）即可实现高质量的即时语音合成，也可通过更长的音频（如1分钟）进行微调以获得更逼真的效果

【爬虫逆向】一文掌握混淆工具Ollvm（超级详细！）
数据知道的博客
03-13 9651
Ollvm 是一个强大的代码混淆工具，通过多种混淆技术增加逆向工程的难度。多种混淆技术：控制流扁平化、指令替换、虚假控制流、字符串加密。灵活配置：支持调整混淆强度。跨平台支持：适用于 Windows、Linux 和 macOS。在逆向分析中，Ollvm 的混淆技术会显著增加分析难度，但通过结合静态和动态分析工具，仍然可以逐步还原代码逻辑。
Unidbg系列--Ollvm字符串解密
Tasfa的博客
06-25 1259
Ollvm字符串解密 原理 使用unidbg框架，模拟调用So文件，并Hook内存写操作,当so解密操作写入内存时，回调获取解密字符串，并将其写入新so文件中，达到反OLLVM字符串加密的目的。 解密脚本 package com.xCrack; import com.github.unidbg.AndroidEmulator; import com.github.unidbg.Emulator; import com.github.unidbg.Module; import com.github.unid
ollvm 学习笔记
sky123博客
04-28 4850
环境配置 编译 ollvm 先将 GitHub 上的 ollvm 下载下来。 git clone -b llvm-4.0 https://github.com/obfuscator-llvm/obfuscator.git 创建文件夹，作为编译 ollvm 的目录。 mkdir ollvm cd ollvm 加载 ollvm 项目。 cmake -DCMAKE_BUILD_TYPE=Release -DLLVM_INCLUDE_TESTS=OFF ~/obfuscator 然后编译项目。 make -j
安卓逆向（OLLVM）
hongsegeming的博客
02-15 2234
好，我们先来简单了解一下编译的过程，再讲一下 LLVM 怎么解决编译中的问题。前端（Frontend）：就像你写的文章，它会先被检查有没有语法错误（就像老师检查你的作文有没有拼写错误、句子不通顺），然后会变成一种更简单的语言，这种语言就是中间代码（好比是翻译成了一种大家都能懂的语言，方便后面的步骤处理）。优化（Optimizer）：这一步就像是你检查自己写的文章，看看有没有可以删掉的部分，或者有没有能合并的句子。目标是让文章更加简洁明了，省时间。就像程序代码中删掉没用的部分，合并冗余的代码，提升运行速度。后
Hikari-LLVM15与其他混淆工具对比：OLLVM、Obfuscator-LLVM优劣势
最新发布
gitblog_00040的博客
10-16 367
在软件开发中，代码混淆是保护知识产权的重要手段。你是否还在为选择合适的混淆工具而烦恼？本文将深入对比Hikari-LLVM15与OLLVM、Obfuscator-LLVM三款主流混淆工具，帮助你快速掌握它们的优劣势，找到最适合项目需求的解决方案。读完本文，你将了解各工具的核心功能、适用场景及实际效果，轻松做出明智选择。 ## 工具概述 Hikari-LLVM15是一款基于LLVM15的代码混淆...
混淆字符串
01-08 8185
基础知识 物极必反。我们已经研究了阅读Windows内核的方法，现在开始讨论在我们自己的驱动编码中采用特殊的编码方法，来简单地防止反汇编阅读。这是有趣的一种事态：一方面我们研究如何阅读别人的（尤其是MS的）代码；另一方面，我们不得不采取措施保护自己的技术不被他人简单地窃取。 我这里要用到的这种方法不同于加壳或者加密。加壳和加密的方法比较单一，从而容易被人以同
为OLLVM添加字符串混淆功能
king_jie0210的专栏
08-15 3852
转载声明：https://www.anquanke.com/post/id/86384 本文简单介绍了下使用上海交大GoSSIP小组开源的“孤挺花”混淆框架来给OLLVM加上字符串混淆的功能。 0x01 OLLVM 4.0 OLLVM(Obfuscator-LLVM)是瑞士西北应用科技大学安全实验室于2010年6月份发起的一个针对LLVM代码混淆项目，主要作用是增加逆向难度，从而一...
解决ollvm字符串混淆的几种方法
blind cat
03-02 2853
手动还原 应用运行,dump so unicron 执行 uEmu
Frida和IDA分析OLLVM混淆APK
小龙在线
01-06 2851
Android实现动态库的加载，一般需要调用android_dlopen_ext函数。函数源码： void* android_dlopen_ext(const char* filename, int flag, const android_dlextinfo* extinfo) { const void* caller_addr = __builtin_return_address(0); return __loader_android_dlopen_ext(filename, flag, exti
【网络安全】ollvm反混淆学习
HBohan的博客
09-23 3233
ollvm原理 Ollvm大致可分为 bcf(虚假块), fla(控制流展开), sub(指令膨胀), Split(基本块分割) bcf： 克隆一个真实块，并随机替换其中的一些指令，然后用一个永远为真的条件建立一个分支。克隆后的块是不会被执行的。 Fla： 将所有的真实块使用一个switch case结构包裹起来，每个真实块执行完毕后都会重新赋值switch var，对于有分支的块会使用select指令，并跳转到switch起始代码块（分发器）上，根据switch var来执行下一个真实块。 Sub： 指令
native去混淆——字符串加密
2503_90751938的博客
07-13 802
本文围绕 native 层字符串加密的逆向破解方法展开，结合实际案例详细介绍了多种应对策略，包括追踪返回字符串、定位高频调用函数、JNI 字符串追踪、内存 dump 和内存扫描等技术手段。通过这些方法，可以有效应对不同类型的字符串加密方案，为逆向分析提供强有力的支持。希望本文的分享能为读者在实际工作中提供启发和帮助。字符串加密方式应对思路调用字符串解密函数解密明文到堆栈上1. 使用 top xref 定位高频调用函数并 hook；2. 追踪所有返回的字符串；3. trace JNI 字符串相关函数。
windows平台下的OLLVM4.0，支持so文件中字符串混淆
05-21
Windows平台编译生成的OLLVM文件clang.exe，clang++.exe等，集成到NDK工具中，用于Android JNI 中C，C++代码以及字符串的混淆 （支持的ndk版本有android-ndk-r14b-windows-x86_64，android-ndk-r16b-windows-x86_64，其他版本没有测试）
Android SO文件保护OLLVM混淆加固——混淆篇（二）
10-03
Android SO文件保护OLLVM混淆加固——混淆篇
ollvm的混淆反混淆和定制修改.doc
09-28
最近各大杀毒公司陆续都出了混淆，网上关于ollvm的资料比较少，于是就有了这篇文章,这篇文章介绍，android的native代码，也就是so和linux的c/c++代码均可使用的混淆工具ollvm的编译，混淆，反混淆，和反反混淆
OLLVM两种混淆方式：初始化解密和运行时解密
小龙在线
01-12 1548
OLLVM混淆函数名：std::string_ 查找JNI_OnLoad 加载Android ARM库： 修改类型： 双击查看v6 = off_33D60里的off_33D60： print_dex(0x37070)是sign1。 查看交叉引用： 是std::string_::形式的函数，改了函数的名字，这是OLLVM的另一种加密函数，在.init_array段里面： OLLVM字符串使用前混淆：运行时解密 Ctrl+S打开.init_array： 查看sub_6CEC函数： 都赋值
OLLVM混淆
m0_74148881的博客
04-10 1385
通过分析可以发现原始的执行逻辑只在真实块以及序言和retn块中，其中会产生分支的真实块中主要是通过CMOV指令来控制跳转到哪一个分支，常见的分析工具有angr。在代码块前添加一个判断代码块来改变CFG，永真或永假判断使进程直接跳转到原代码块，并将整个代码内容被随机生成的垃圾指令填满，增加逆向成本。用IDA查看未经过控制流平坦化的控制流程图(CFG)使用复杂的指令代替简单的二元运算（如加减法、或、异或）这样可以模糊基本块之间的前后关系，增加程序分析的难度。
记一次解密ollvm字符串
SolarLove的博客
03-21 626
解密37010中的字符串 加密的字符串 寻找异或的V0地址，tab按住V0直接过去，发现是0xC6 image.png 然后看37010这个数组，双击它 ，发现它有两个地址 image.png 左下角是(36010)so中的地址，37010是IDA加载的地址 将so拖入010EDITOR，输入36030 image.png image.png 选中360...
认识一下ollvm的三种混淆（指令替换，虚假的控制流程，控制流平坦化）
SXXYNHHXX的博客
11-07 4357
描述这种混淆技术的目标只是将标准的二进制运算符（如加法、减法或布尔运算符）替换为功能等效但更复杂的指令序列。当有多个等效的指令序列可用时，随机选择一个。这种混淆相当简单，并且不会增加很多安全性，因为可以通过重新优化生成的代码来轻松删除它。但是，如果伪随机生成器的种子具有不同的值，则指令替换会带来生成的二进制的多样性。目前，只有整数运算符可用，因为替换浮点值的运算符会带来舍入误差和不必要的数值不准确。可用的编译器选项mllvm -sub：激活指令替换：如果通道已激活，则将其应用于函数 3 次。
android 字符串 混淆,某右 so层ollvm字符串混淆
weixin_36469638的博客
05-28 1202
某某apk so层ollvm字符串混淆本次逆向分析用到的工具：adb、ida、010Editor、ddms。这次主要对某右的libnet_crypto.so分析,主要工作是分析ollvm混淆的字符串被处理加密。先检测一下设备是否正常adb devices然后解压apk文件，提取出lib目录下的libnet_crypto.so文件armeabi-v7a对应的是32位的ARM设备，调试使用IDA，不要...
请告诉我一个模拟执行还原ollvm混淆的字符串的方法，我是新手，越方便越好。
04-01
<think>嗯，用户想了解如何模拟执行还原OLLVM混淆的字符串，而且他是新手，需要越方便越好的方法。首先，我需要回忆一下OLLVM的混淆方式，尤其是字符串混淆部分。OLLVM通常会用控制流平坦化、虚假控制流等手段，字符串可能被加密或拆分，运行时动态组合。 新手可能对逆向工程工具不熟悉，所以推荐简单易用的工具是关键。首先想到的是使用模拟执行框架，比如Unicorn Engine，因为它可以执行二进制代码片段，方便动态获取解密后的字符串。但Unicorn可能需要编写脚本，对新手来说可能有点难度。 或者，有没有更简单的工具？比如，Frida这样的动态插桩工具，可以挂钩函数，在运行时获取字符串的值。或者使用GDB/LLDB调试器，设置断点，在解密函数执行后查看内存。不过手动调试可能比较繁琐。 另外，有没有现成的反混淆工具？比如deollvm这样的项目，但可能不支持所有情况，或者需要配置复杂的环境。可能需要结合具体例子来说明步骤。 用户可能需要一步步的指导，所以应该分步骤讲解。例如，先定位加密字符串的位置，找到解密函数，然后模拟执行解密过程，或者动态获取解密后的字符串。可能需要用radare2或Ghidra进行静态分析，找到解密函数地址，然后用Unicorn模拟执行解密函数，传入加密字符串的地址，获取结果。 还要考虑是否需要准备样本，比如一个被OLLVM处理过的二进制文件，里面包含加密字符串。然后通过示例代码展示如何操作，比如Python脚本调用Unicorn，设置内存和寄存器，执行解密函数，最后读取内存中的明文字符串。 可能需要注意的问题包括确定解密函数的参数和返回方式，处理内存布局，确保模拟环境与实际运行环境一致。对于新手，可能需要简化这些步骤，比如假设解密函数是简单的异或操作，或者提供示例脚本供参考。 总结下来，步骤可能是： 1. 使用静态分析工具（如Ghidra）定位加密字符串和对应的解密函数。 2. 编写模拟执行脚本（使用Unicorn），设置上下文，加载解密函数和加密数据。 3. 执行解密函数，获取解密后的字符串。 需要详细说明每一步，并给出具体的例子和代码片段，让新手能够跟随操作。同时提醒可能遇到的坑，比如函数参数识别、内存映射等，以及如何解决这些问题。可能还需要推荐一些学习资源，比如Unicorn的文档或简单教程，帮助用户进一步学习。</think>以下是一个适合新手的OLLVM字符串还原模拟执行方案（分步骤说明）： 1. 准备工具 - 安装Qiling框架（比Unicorn更简单）： ```bash pip install qiling ``` 2. 定位解密函数 用IDA/Ghidra查找特征： $$mov eax, [加密字符串地址]$$ $$call 解密函数$$ 3. 编写模拟脚本（示例）： ```python from qiling import Qiling ql = Qiling(["混淆程序"], rootfs="/tmp") encrypted_str_addr = 0x08048000 # 替换为实际地址 key = 0xAA # 替换为实际密钥 # Hook解密函数 def decrypt_hook(ql): encrypted = ql.mem.read(encrypted_str_addr, 16) # 读取加密数据 decrypted = bytes([b ^ key for b in encrypted]) # 模拟异或解密 print(f"解密结果：{decrypted.decode()}") ql.hook_address(decrypt_hook, 0x08048400) # 挂钩解密函数地址 ql.run() ``` 4. 执行流程： - 运行脚本自动触发解密函数 - 内存中的加密数据会被动态解密 - 控制台输出还原后的原始字符串 新手注意事项： 1. 密钥查找技巧：在解密函数中寻找重复出现的XOR/ADD/SHL等指令 2. 地址定位：使用交叉引用（xref）找到字符串被调用的位置 3. 测试建议：先用简单样本（如自写demo程序）练习 4. 进阶工具：可配合angr符号执行实现自动化（需Python基础） 优势说明： Qiling框架自动处理： - 内存映射 - 系统调用 - 库函数依赖 相比传统Unicorn方案减少70%的配置代码
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值