llux

ollvm de-obfuscator

移除ollvm中的控制流平坦化、不透明谓词

`ll`取自`ollvm`，`ux`取自`lux`，寓意混淆之中的光亮和线索

Description

* 实现了在x86_64架构下,开启代码优化后,控制流平坦化以及不透明谓词的移除

* 实现原理不同于符号执行，是自实现的一个路径探索方法，无需条件约束，在遇到bcf增加的死循环块的时候，依然可以完成路径遍历

* 针对ollvm进行了充分地优化，速度对于符号执行框架angr速度较快，且可以处理复杂样本

* 暂未开源，因为这样会使得混淆对抗太过于简单，这里只提供了工具方便使用

Usage 1 基本使用

Usage 2 多个分发器的处理

Usage 3 bcf的处理

Usage 1

我们有如下代码，使用函数注解的形式开启了ollvm的全部的混淆功能，使用较低的bcf概率 -mllvm -bcf_prob=3，在开启较高概率时，可以对部分条件进行手动patch，最终在程序运行结束之后会提示一些无法到达的基本块，手动删除即可，参考Usage 3

* fla：控制流平坦化

* sub：指令替换

* split：基本块拆分

* bcf：伪造控制流

编译后的CFG（控制流程图）

在要去除混淆的函数入口下断（硬件断点），并运行到

dump堆栈内存

dump模块内存

编写subroutine.txt

将dump得到的内存和subroutine.txt按如下方式布局

程序在短暂运行后会在当前路径下生成code.asm

拿到Visual Studio进行编译

经过对代码进行一定的修改，使得其可以通过编译（修改后的代码上传到了Release）

观察到不透明谓词

其中是dword_14001DA48，dword_14001DA4C分别是ollvm bcf（伪造控制流）功能中的int类型的全局变量x和y，地址连续，值恒为0

 mov    eax,dword_14001DA48
 
 手动修改成如下代码化简逻辑
 
 mov    eax,0

 cmp    dword_14001DA4C, 0ah
 cmovl  eax, r13d
 
 手动修改成如下代码化简逻辑
 
;cmp    dword_14001DA4C, 0ah
 mov    eax, r13d

 mov    eax, 0ff85a711h
 mov    ecx, 4ef55c6dh
 cmovl  eax, ecx
;jmp    1400012f0h
 cmp    eax,0ff85a711h
 je     loc_1400013a1
 jmp    loc_140001459

 手动修改为如下代码化简逻辑

;mov    eax, 0ff85a711h
;mov    ecx, 4ef55c6dh
;cmovl  eax, ecx
;jmp    1400012f0h
;cmp    eax,0ff85a711h
 jl     loc_140001459
 jmp    loc_1400013a1