方式
NDK r21 + ollvm9.0.1 + ndk-build 系统MacOS
唠嗑
网上的教程基本都是 低版本NDK + 低版本ollvm + cmake 进行混淆操作,已经不适合在当下(2021年)使用了,且每个都写得很复杂,就是在坑人。所以在这里写一下高版本ndk如何使用ndk-build进行ollvm的混淆。虽然ollvm反混淆已有方案,但对逆向者而言,已经提高了很大的一个门槛。
简介
OLLVM(Obfuscator-LLVM)是瑞士西北应用科技大学安全实验室于2010年6月份发起的一个项目,该项目旨在提供一套开源的针对LLVM的代码混淆工具,以增加对逆向工程的难度。github上地址是https://github.com/obfuscator-llvm/obfuscator,只不过仅更新到llvm的4.0,2017年开始就没在更新。最新的9.0.1等版本均是后来大神修改出来的分支。
步骤
1. clone ollvm工程到本地,切换分支到9.0.1,新建build文件夹并编译。(git、cmake相关请自行百度)
ndk版本我使用的是r21 、r22版本,需要使用9.0.1版本的llvm,下面教程使用的环境是ndk 21.0.6113669。用gtihub慢的话可以把仓库地址切换为我拷贝到gitee的地址https://gitee.com/jzhiyshen/obfuscator.git
有人反映切换不到9.0.1分支,年代久远,没再深究,可以尝试另一个地址去clone: https://github.com/heroims/obfuscator
#clone 项目
git clone https://github.com/obfuscator-llvm/obfuscator.git
#切换分支
cd obfuscator
git checkout llvm-9.0.1
#新建build目录
mkdir build
cd build
#如果不想跑测试用例加上-DLLVM_INCLUDE_TESTS=OFF
cmake -DCMAKE_BUILD_TYPE=Release -DLLVM_CREATE_XCODE_TOOLCHAIN=ON ../obfuscator/
make -j7
2. 编译完成,将OLLVM的build/bin目录下的clang复制替换掉NDK目录中的对应文件。
需要拷贝下图4个文件
复制替换到 ndk目录/toolchains/llvm/prebuilt/darwin-x86_64/bin,存在同名文件需要替换掉
3. 复制对应的头文件到NDK目录下
回到刚才编译完成的build目录下,进入到 lib/clang/9.0.0/include/, 复制如下文件
stdarg.h
stddef.h
__stddef_max_align_t.h
float.h
到 ndk目录/toolchains/llvm/prebuilt/darwin-x86_64/sysroot/usr/include 文件夹下。
4. 到这里,OLLVM环境就搭建好了,对,就是这么简单,没别人说的那么复杂。接下来就是在Android工程中加入OLLVM的混淆参数。
Android工程需要选择刚才已经替换文件的NDK版本,如只有一个NDK版本或已经使用此NDK版本可以忽略,具体如何设置NDK版本请自行百度。
OLLVM 9.0.1支持下面四种混淆方式
-mllvm -fla:控制流扁平化
-mllvm -sub:指令替换
-mllvm -bcf:虚假控制流程
-mllvm -sobf: 字符串加密
在Android项目JNI目录下的 Android.mk 加入编译参数(不加此参数就没有混淆)
LOCAL_CFLAGS += -mllvm -sub -mllvm -sobf -mllvm -fla -mllvm -bcf
然后clean一下工程,Make Project ,按照平时编译流程来,得到的so库就是混淆后的so库了。
使用IDA看看我们混淆前后的逆向出来的代码的差别
混淆前
混淆后