LLVM中期报告

1．主要开展的工作

研究对LLVM IR层面进行代码混淆，分析IR的指令 ，并且实现混淆
从LLVM代码混淆的角度出发，函数之间的正常调用构成了待混淆程序的原始控制流，不同的基础代码块构成了一个个的函数，每个基础代码块又是由一条一条程序语句构成的，每条程序语句可以看做是一条指令。这些细节可以帮助理解算法并实现代码混淆，基于LLVM的代码混淆就是通过对函数、代码块、程序语句和指令的处理，来混淆程序的控制流、数据流和逻辑等

2.研究成果

2.1实验环境的搭建
操作系统 Ubuntu 20.04.6
编译器版本 Obfuscator-LLVM 4.0.1
前端 Clang、clang++、others
编程语言 C、C++
目标平台 x86_64-unknown-linux-gnu
安装LLVM的方式有很多，可以从官方上下载预编译好的包，也可以用源码进行编译。这里我们用源码进行编译，版本是4.0.1的版本
我们使用如下命令进行了构建：
$cd llvm-project
$mkdir build && cd build
$cmake -G “Unix Makefiles” -DLLVM_ENABLE_PROJECTS=“clang” -DCMAKE_BUILD_TYPE=Release -DLLVM_TARGETS_TO_BUILD=“X86” -DBUILD_SHARED_LIBS=On …/llvm
$make

-G 指定为 Unix Makefiles
使用 DCMAKE_BUILD_TYPE 选项指定编译的版本为 Release，一共有四种模式可选，分别为Debug, Release, RelWithDebInfo和MinSizeRel。使用 Release 可以节省空间，省略调试信息。
DLLVM_TARGETS_TO_BUILD 指定目标平台的架构。
-DLLVM_ENABLE_PROJECTS表明还需要编译的项目，这里指定 clang，可以根据需要加入其他子项目。
-DBUILD_SHARED_LIBS 指定使用动态链接来链接LLVM的库，默认取值Off代表静态链接

2.2 LLVM IR
LLVM的核心就是LLVM IR，LLVM项目从一系列围绕LLVM IR工具
IR有三种等价的表达形式：
1.内存表示（Instruction类等）
2.被压缩的磁盘表示（位码文件）
3.人工可读文本的磁盘表示（LLVM汇编文件）
我们用编写的sum.c样本作为示例
int sum(int x,int y)
{
return x+y;
}
生成位码
clang sum.c -emit-llvm -c -o sum.bc
生成汇编
clang sum.c -emit-llvm -s -c -o sum.ll
汇编上述LLVM IR 汇编文本
llvm-as sum.ll -o sum.bc
从位码转换为IR汇编文本，反汇编程序：
llvm-dis sum.bc -o sum.ll

在LLVM IR中只有 .ll文件是人为可读的文件

2.3 LLVM IR基本块分割技术

基本块分割即将一个基本块分割为等价的若干个基本块，在分割后的基本块之间加上无条件跳转

基本块分割不是纯正的代码混淆技术，但是在以基本块为基本单位的代码混淆技术中，基本块的数量越多，进行代码混淆后的复杂度越大，通过人为增加基本块的数量，可以达到提高代码混淆效果的目的。其实现思路即判断和遍历每个函数中不包含PHI指令的基本块，研究根据指定的一个基本块会被分裂成几个基本块的个数，计算出对每一个基本块进行分割的次数再进行分割即可

待混淆的函数F，混淆后的函数为O(F)
输入：待混淆函数F
输出：混淆后的函数O(F)
步骤：
Begin
if(toObfuscate(&F))then
do split(Function &F)
for basic blocks in iterator do
containsPHI()
shuffle()
……
splitBasicBlock()
end
endif
end
主要函数 功能描述
bool toObfuscate(Function &F) 检测是都启动了split功能
bool containsPHI(BasicBlock *b) 检测如果它的size(即包含的指令数)只有1个或者包含PHI节点，则不分割该block
Void shuffle(std::vector<int

&vec) 用shuffle打乱指令的顺序
BasicBlock *splitBasicBlock(Instruction *I, const Twine &BBName = “”,bool Before = false) 基本块分割即将一个基本块分割为等价的若干个基本块，在分割后的基本块之间加上无条件跳转

给出指令
$clang sum.c -S -emit-llvm -o sum.ll
$clang sum.c -S -emit-llvm -o sumpass.ll -mllvm -split
以sum.c为示例


2.4控制流平坦化混淆技术

算法生成一个选择指令swtichl，并将原有的基本块均作为switch指令的后继跳转，由选择指令的选择变量switchVtr参数决定在每一次的选择中哪一个基本块作为其后继跳转。
为了实现这一目标，在所有原基本块的开头增加选择标识数指令，在基本块的尾部添加新生成选择变量的指令。此外，算法还生成一个调度分发块，作为所有原基本块的后续跳转。调度分发块的后继节点为选择指令，调度分发块会将所有原基本块传递的选择变量传递给选择指令，选择指令继续下一个循环，直到将所有原基本块执行完毕。
此外，由于LLVM IR作为一种静态单赋值（SSA）形式的代码表示[9]，即每个变量都只能被赋值一次，而控制流平坦化算法在执行后，所有原基本块的前驱块都变成了分发块，因此PHI指令发生了损坏。同时，平坦化后原基本块之间会不存在确定的前后关系（由分发块决定），因此某些变量的引用可能会损坏，称之为逃逸变量，这些逃逸变量在编译时会出现分不清定义和引用顺序的问题。所以在算法的最后需要修复所有的PHI指令和逃逸变量。
这种混淆算法可以有效增加程序的复杂性和安全性，大大提升逆向分析者的分析难度。混淆后程序的控制流为：
（1）从入口块进入，执行入口块，然后跳转到分发块；
（2）根据分发块中switch指令跳转到对应的基本块；
（3）执行完分发的基本块后跳转到统一的返回块；
（4）返回块跳转到分发块，分发块读取基本块中switch指令的case值，继续进行下一次分发和跳转。

待混淆函数为F，混淆后的函数为O(F)
步骤：
Begin
createLowerSwitchpass()
for basic block in function iterator do
save original basic block
end
AllocaInst() and ConstantInst::Get(…)
BasicBlock::Create()
SwitchInst::Create()
caesVar
loopEntry
loopEnd
for basic blocks in original basic block iterator do
put all basic block in switch,
change terminator instruction,
addCase(numCase,i)
reaalculate switch variable
end
end
主要函数 功能描述
createLowerSwitchPass() LLVM底层Switch指令创建口
AllocaInst() LLVM创建指令，并为指令分配地址空间创建了一个switch用的变量
ConstantInst::get() 创建常量，并为常量赋值
BasicBlock::Create() 创建基本块的接口
SwithchIns：：Create（&f->begin(), swDefault, 0, loopEntry） 创建上层Switch指令接口
addCase(numCase,i) 创建Switch指令的各个分支的接口
给一个样例test.c进行展示
int test(int a, int b)
{
while(a!=0)
{
a=a+b;
}
if (b>5)
{
b-=1;
b=a+b;
}
return 0;
}
给出指令:
$clang test.c -S -emit-llvm -o test.ll
$clang test.c -S -emit-llvm -o testpass.ll -mllvm -split -mllvm -fla


2.5 LLVM IR指令替换技术
指令替换技术可以将指定的IR指令替换为功能相同但更复杂的指令，从而实现对IR的混淆。
指令替换的方式众多，其中最主要的方式是对运算指令的替换。在对运算指令的替换中，首先遍历需要混淆的函数或基本块中的指令，当检测到指定的指令后，在对应的位置创建混淆的指令，并取代原来的指令。同样的运算指令可以有多种不同的替换方式，混淆的强度主要取决于具体的实现过程，将不同的替换方式进行搭配可以提高代码混淆的效果。

待混淆的指令I，混淆后的指令为O(I)
输入：待混淆的指令I
输出：混淆后的指令O(I)
步骤：
Begin
if(I.getOpcode() == Instruction::**)
Substitution(I)
ToRemove(I)
endif
end
主要函数 功能描述
unsigned getOpcode() const {
return getValueID() - InstructionVal;
} 检测指令的运算类型
void Substitution(Instruction& I) 对指令进行替换
void ToRemove(Instruction& I) 删除原有的指令
以test.c为例，进行两种不同的指令替换：
#include <stdio.h>
int main() {
int x = 0;
int y = x + 1;
printf(“%d\n”, y);
return 0;
}
$clang test.c -s -emit-llvm o -test.ll
$clang test.c -s -emit-llvm -subtest -o -test.ll