OLLVM混淆环境搭建与去平坦化

最新推荐文章于 2024-06-06 13:33:54 发布
最新推荐文章于 2024-06-06 13:33:54 发布
阅读量2.1k 收藏 21
点赞数 15
文章标签： ubuntu linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/DD5001/article/details/135607839
版权

环境

vmware虚拟机，ubuntu20.04

ollvm定义

​ LLVM（Low Level Virtual Machine）是一个开源的编译器基础架构，它包含了一组模块化、可重用的编译器和工具，支持多种编程语言和目标架构，包括x86、ARM和MIPS等。LLVM的核心思想是将编译器分为前端和后端两个部分，前端负责将源代码转换为中间表示（IR），后端负责将中间表示转换为目标机器的汇编代码。这种设计使得LLVM可以支持多种编程语言，因为只需要为每种语言编写一个前端，就可以利用后端的通用性支持多种目标架构。

​ OLLVM（Obfuscator-LLVM）是瑞士西北应用科技大学安全实验室于2010年6月份发起的一个项目，这个项目的目标是提供一个LLVM编译套件的开源分支，能够通过代码混淆和防篡改，所使用的编译器是clang。

搭建ollvm环境

ollvm github仓库

https://github.com/obfuscator-llvm/obfuscator

git下载ollvm源码

git clone -b llvm-4.0 --depth=1 https://github.com/obfuscator-llvm/obfuscator.git

配置编译工具

cmake , gcc , g++
cmake

去官网下载cmake或者直接sudo安装

sudo apt install cmake
安装 gcc-8 g+±8 降低版本

查看gcc和g++版本，若为9则要降低版本

在这里插入图片描述

安装gcc-8和g+±8
sudo apt-get install gcc-8 g++-8 -y

配置软件的优先级，可以根据需要去选择默认的版本

sudo update-alternatives --install /usr/bin/gcc gcc /usr/bin/gcc-8 8
sudo update-alternatives --install /usr/bin/g++ g++ /usr/bin/g++-8 8
sudo update-alternatives --install /usr/bin/gcc gcc /usr/bin/gcc-9 9
sudo update-alternatives --install /usr/bin/g++ g++ /usr/bin/g++-9 9
gcc切换版本 默认gcc 8
sudo update-alternatives --config gcc

输入选择版本的数字

在这里插入图片描述

g++切换版本 默认g++ 8
sudo update-alternatives --config g++

在这里插入图片描述

修改ollvm源码

进入 ollvm目录/include/llvm/ExecutionEngine/Orc/OrcRemoteTargetClient.h

定位到第690行 把char 改成 uint_8t

在config.guess文件中存在一些DOS行结尾(DOS line endings)，需要将其转换为Unix行结尾。

sudo apt-get install dos2unix
dos2unix obfuscator/cmake/config.guess

在这里插入图片描述

编译 ollvm

mkdir build
cd build
cmake -DCMAKE_BUILD_TYPE=Release -DLLVM_INCLUDE_TESTS=OFF ../obfuscator/

在这里插入图片描述

make -j4

这个过程会很久

[ 97%] Built target llvm-objdump
[ 97%] Linking CXX executable ../../bin/llvm-mc
[ 97%] Built target llvm-mc
[ 97%] Linking CXX executable ../../bin/llvm-dwp
[ 97%] Linking CXX executable ../../bin/llvm-lto2
[ 97%] Built target llvm-dwp
[ 97%] Built target llvm-lto2
make: *** [Makefile:152: all] Error 2

可能是环境配置出了问题，编译到97%时就停止了，几个主要的clang文件都没编译成功

试了好几次都卡在这个

在这里插入图片描述

查阅资料，猜测是swap区空间不够，增加swap区空间为4g，扩大虚拟机容量为60g

如果卡住了，不要慌，不要删，继续make -j

在这里插入图片描述

混淆

两种方法，一种是配置ndk环境混淆，另一种是直接将clang作为程序进行混淆。推荐第二种，第一种无法控制混淆的方法。

注意，混淆时一定要采用gcc8和g++8，9以上的环境会混淆失败。

配置ndk环境

执行命令，打开配置文件

gedit ~/.bashrc

把下面这两行粘贴到文件末尾， 注意，替换路径成自己下载的ndk路径

export NDK_HOME=/home/bag/android/android-ndk-r16b/
export PATH=$NDK_HOME:$PATH

最后执行命令，使配置文件生效

source ~/.bashrc
复制编译好的4个 clang 文件到ndk目录

clang，clang++，clang-4.0，clang-format

粘贴到ndk目录

ndk目录/toolchains/llvm/prebuilt/linux-x86_64/bin
复制build目录的 3个头文件到ndk目录
fatal error 'Stddef.h' file not found
fatal error 'Stdarg.h' file not found
fatal error '__stddef_max_align_t.h' file not found

ndk目录

home/bag/android/android-ndk-r16b/sources/cxx-stl/system/include

新建jni文件夹（名字改了的话在对应的配置文件得该指定路径方式）

在文件夹中新建Android.mk，Application.mk，try.cpp

Android.mk

LOCAL_PATH := $(call my-dir)

include $(CLEAR_VARS)

LOCAL_MODULE := bag
LOCAL_SRC_FILES := try.cpp

include $(BUILD_EXECUTABLE)

Application.mk

APP_ABI := armeabi-v7a arm64-v8a
APP_PIE := true
APP_CPPFLAGS := -frtti -std=c++11 -mllvm -fla -mllvm -bcf -mllvm -sub

try.cpp

#include<cstdio>
int main()
{
  int d;
  scanf("%d",&d);
  if(d==1)printf("d = 1");
  else if(d==2)printf("d = 2");
  else printf("not 1 or 2");
  return 0;
}

在jni的上级路径，输入ndk-build

在这里插入图片描述

成功了！

混淆后的文件在libs内

在这里插入图片描述

在ida中查看混淆效果

在这里插入图片描述

clang混淆

这里对源文件进行平坦化混淆处理。

来到build/bin目录下，将待混淆的源文件放在该目录下。

命令格式为

./clang -mllvm -fla 源文件 -o 目标文件

./clang -mllvm -fla try.cpp -o try

成功生成混淆后的文件，用ida查看效果

在这里插入图片描述

去平坦化

虚拟环境

安装虚拟环境

pip install virtualenv

配置环境变量

export WORKON_HOME=$HOME/.virtualenvs
export PROJECT_HOME=$HOME/workspace
source /usr/local/bin/virtualenvwrapper.sh

打开虚拟环境

source ~/.local/bin/virtualenvwrapper.sh

创建新的虚拟环境

mkvirtualenv demo

展示当前虚拟环境

workon

进入虚拟环境

workon demo

使用脚本

由于脚本需要angr，在当前虚拟环境中安装

pip install angr

脚本github地址：deflat: use angr to deobfuscation

将脚本中的am_graph.py和util.py文件复制到下级
在这里插入图片描述

在ida中找到平坦化的入口地址，一般而言入口前都会存在大量var_（局部变量），下图入口地址为0x401140

在这里插入图片描述

去平坦化命令格式为

python3 deflat.py -f filename --addr address（入口地址，一般为main入口）

python3 deflat.py -f try --addr 0x401140

在这里插入图片描述
在这里插入图片描述

去平坦化成功后，会在当前目录下生成源文件_recovered

在这里插入图片描述

在ida中查看去平坦化后效果
在这里插入图片描述

总结

  1. 定位入口地址

  2. 在./deflat-master/flat_control_flow/路径下启动虚拟环境

    source ~/.local/bin/virtualenvwrapper.sh
workon
workon demo

  3. 使用去平坦化命令

    python3 deflat.py -f filename --addr address（入口地址，一般为main入口）

参考文章

  1. OLLVM环境搭建-Ubuntu20.04_ubuntu配置llvm-CSDN博客
  2. 跟着铁头干混淆2 ubuntu20.04编译ollvm - 简书 (jianshu.com)
  3. OLLVM 与去平坦化 &RoarCTF2019 polyre 详细WP
Bag5
关注
  • 15
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
【网络安全】ollvm反混淆学习
HBohan的博客
09-23 2859
ollvm原理 Ollvm大致可分为 bcf(虚假块), fla(控制流展开), sub(指令膨胀), Split(基本块分割) bcf： 克隆一个真实块，并随机替换其中的一些指令，然后用一个永远为真的条件建立一个分支。克隆后的块是不会被执行的。 Fla： 将所有的真实块使用一个switch case结构包裹起来，每个真实块执行完毕后都会重新赋值switch var，对于有分支的块会使用select指令，并跳转到switch起始代码块（分发器）上，根据switch var来执行下一个真实块。 Sub： 指令
ollvm对ndk进行混淆的资源包
03-12
OLLVM与NDK结合，可以在构建原生库时引入混淆，为代码提供额外的安全层。 **使用步骤** 1. **环境配置**：首先确保安装了Android NDK，配置好Android SDK和NDK的环境变量，以便编译和链接原生代码。 2. **安装...
windows编译ollvm笔记
北京流年
10-16 777
Windows10编译ollvm全过程
【iOS逆向与安全】使用ollvm混淆你的源码_
程序员阿飘 的博客
04-12 659
简单的入门文章，希望能帮助到你。最后给大家准备了一份大礼包！
windows下visual studio 2019 c++代码混淆
最新发布
qq_26611129的博客
06-06 1147
环境：windows,visual studio 2019,cmake目的：c++代码混淆。
ollvm视频教程
11-13
本套视频主要讲llvm与ollm，涉及llvm pass编写、ollvm源码分析,学完本套视频教程后,可以完全彻底搞懂ollvm混淆，如果是做产品加固，本套视频为你量身定做，如果有混淆基础但是不够系统也可以学习本套视频教程，视频中有中各种平台包含在内核层中混淆使用。
LLVM第二弹—— OLLVM环境搭建、源码分析及使用
热门推荐
云瀚的自习室
10-29 2万+
目前市面上的许多安全公司都会在保护IOS应用程序或安卓APP时都会用到OLLVM技术。譬如说顶象IOS加固、网易IOS加固等等。故而我们今天研究下OLLVM是个什么。将从（1）OLLVM是什么？OLLVM与LLVM的关系；（2）OLLVM的三大功能；（3）OLLVM的配置过程；（4）OLLVM源码分析。（4）OLLVM使...
ollvm 学习笔记
sky123博客
04-28 4235
环境配置 编译 ollvm 先将 GitHub 上的 ollvm 下载下来。 git clone -b llvm-4.0 https://github.com/obfuscator-llvm/obfuscator.git 创建文件夹，作为编译 ollvm 的目录。 mkdir ollvm cd ollvm 加载 ollvm 项目。 cmake -DCMAKE_BUILD_TYPE=Release -DLLVM_INCLUDE_TESTS=OFF ~/obfuscator 然后编译项目。 make -j
【iOS逆向与安全】使用ollvm混淆你的源码
小陈的技术博客
02-27 3265
当你在研究别人源码的时候，是不是期望着别人代码没有进行任何的防护和混淆。这时的你，是不是应该考虑一下自己代码的安全.本篇文章将告诉你，如何使用ollvm来混淆iOS端的代码【此文为入门贴，大佬请绕道】。
Android SO文件保护OLLVM混淆加固——混淆篇（二）
10-03
这可能包括选择哪种类型的混淆技术（如控制流扁平化、跳转表、名称混淆等），以及混淆强度等参数。 3. **编译源码**：使用OLLVM的Clang编译器进行编译，这一步会将混淆策略应用于源代码，生成混淆后的汇编和机器码...
OLLVM安装环境
03-08
至此，你已经成功地搭建了OLLVM的安装环境，接下来就可以使用这个工具进行代码混淆了。注意，如果在构建过程中遇到任何问题，检查错误消息，或者查阅OLLVM的官方文档获取更多帮助。代码混淆是一个复杂的过程，但通过...
ollvm的混淆反混淆和定制修改.doc
09-28
【ollvm混淆与反混淆详解】 ollvm，全称Obfuscator-LLVM，是一款针对C/C++代码的混淆工具，特别适用于Android的Native代码（SO库）和Linux平台。由于混淆技术在防止逆向工程和保护代码安全方面的重要性日益增强，...
去除控制流平坦化的defalt脚本
02-17
`am_graph.py`可能包含了构建和操作控制流图的函数，而`deflat.py`可能是核心的去平坦化实现，负责实际的分析和重构工作。 在实际应用中，这类脚本的开发和优化需要深入的编程知识，特别是对于特定ISA的理解，以及...
OLLVM控制流平坦化源码分析+魔改
寻梦&之璐
07-07 2017
需要把vertor里面的第一个基本块即入口基本块单独拿出来进行处理：对入口基本块进行判断，如果是无条件跳转则不进行任何处理，否则需要找到最后一条指令，将整个if结构给split，Module是指模块，Function模块下的函数，BasicBlock函数下的基本块，Instruction 基本块下的IR指令。创建一个switch指令，位置是在loopentry基本块下，且创建了0个case，然后设置了条件为load，就上面的load。紧接着创建一个基本块，然后在基本块里面创建一个跳转指令，
细说arm反类ollvm混淆-基本思想
键盘的起始页
08-07 1166
从最简单开始 先从一个简单的函数开始 1 2 3 4 5 6 7 8 9 10 11 12 intmain(intargc,constchar**argv){ inta=atoi(argv[1]); if(a>5){ a=a+1; printf("a%d",a); ...
LLVM学习总结与OLLVM项目分析
键盘的起始页
10-12 1382
学习了一段时间的LLVM后，难免需要对其做一个总结，同时准备下一阶段的学习工作——基于LLVM自定制代码混淆器。在此只记录学习内容，不表达实现方式。 LLVM、clang、IR概述 对于LLVM，个人认为可以将它理解为是一个编译器，或者是一个完整的编译架构。它将源代码(.c或者.cpp或者.m等文件代码)生成与机器无关的中间代码，称之为IR。然后对产生的IR进行优化，生成对应的机器汇编语言。这和传统编译器前端，中间优化，后端的设计模式很相似。而不同之处在于，可以通过自定制前端或者后端来使之支持编译你的语
代码混淆，OLLVM
nfl0601的博客
04-14 472
OLLVM是经典的代码混淆工具，在国内移动安全的使用非常广泛。github上的源码，可以研究其实现方法。
ollvm源码分析之指令替换（1）
qq_42308741的博客
03-09 1038
参考网站：Obfuscator-llvm源码分析 ollvm ollvm总体框架与llvm一致，如下图所示。 其中IR(intermediate representation)是前端语言生成的中间代码表示，也是Pass操作的对象，它包括四部分： Module Function BasicBlock Instruction OLLVM有三个Pass以实现混淆，分别为Substitution、BogusControlFlow、flattening。它们位于Transforms/Obfuscation/目录
OLLVM环境搭建-Ubuntu20.04
megaparsec
09-06 4163
早在1997年，学术界就开始了代码混淆的研究。目前使用最广泛的混淆分类方式是Collberg于1997年针对JAVA程序的安全问题提出的。布局混淆、预防性混淆、数据混淆、控制混淆。布局混淆指删除或修改源代码中的对攻击者由于的信息，如变量名、调试信息等。显然，布局混淆在二进制代码混淆中可以忽略不计。预防性混淆指预先针对特定的反编译工具，解混淆方法进行防备。
使用ollvm混淆你的源码
04-04
OLLVM是一种基于LLVM的混淆器，可以对源代码进行混淆，使其难以逆向和分析。下面是使用OLLVM混淆源码的步骤： 1. 安装OLLVM 首先需要安装OLLVM，可以从官方网站（https://github.com/obfuscator-llvm/obfuscator）下载源代码，然后编译安装。 2. 编写源代码 编写需要混淆的源代码，例如： ``` #include <stdio.h> int main() { int a = 10; int b = 20; int c = a + b; printf("c = %d\n", c); return 0; } ``` 3. 使用OLLVM混淆源代码 使用OLLVM混淆源代码可以通过以下命令： ``` clang -Xclang -load -Xclang /path/to/obfuscator.so -mllvm -obfuscator -o obfuscated.out source.c ``` 其中，`/path/to/obfuscator.so`是OLLVM的插件，`source.c`是需要混淆的源代码文件，`obfuscated.out`是混淆后的输出文件。 4. 查看混淆后的源代码 使用反编译工具查看混淆后的源代码，可以看到代码已经被混淆，变得难以理解和分析，例如： ``` #include <stdio.h> int main() { int _0_hM5 = 10; int _1_hM5 = 20; int _2_hM5 = _0_hM5 + _1_hM5; printf("c = %d\n", _2_hM5); return 0; } ``` 可以看到变量名和表达式已经被混淆，使得代码变得更加复杂和难以理解。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值