前言
随着技术水平的提升，越来越多的apk中的so文件都用上了ollvm来反逆向分析。
这在我们分析的过程中带来了很大的困扰，然而事物是不断发展的，虚假控制流的变体，虚假控制流变种层出不穷。
混淆的技术不断提升，但是反混淆的技术仍然停滞不前。
所以笔者这里对反混淆技术进行了调研，对最流行的angr去混淆技术进行分析与复现，总结了angr去除混淆的可行性与缺陷。
反混淆思路
目前主流的反混淆思路似乎有以下三种
对于unicorn来说，给一个地址，那么unicorn引擎就会从这个地址开始执行，碰到一个条件跳转则会根据内存或者寄存器的值进行跳转，这个判断是具体的确定的，因此，unicorn只能走jnz的一个分支。
而angr则是在运行的过程中，从给定的一个state(程序状态，程序的寄存器值，内存的不同都可以作为程序状态的不同)开始执行，每个state维护着一个约束条件的集合(比如i<10,i!=0)，这里可以去了解一下z3约束引擎。
在angr中的state里有一个solver对象，其中存在保存的约束。
那么这些约束条件时如何产生的呢，在每一次发生条件跳转时，都会产生一个约束，那么这个条件成立或者不成立都可以作为一个约束。
不管跳转条件成立或者不成立，该约束都会放入state的约束集合，同时会产生两个子state，分别对应着这个条件成立的程序state，不成立的程序state(因为此时的rip不一样，可以区别为不同的程序状态)。
有点类似linux的fork操作，通过收集约束，进行遍历，最终angr理论上可以遍历到程序的所有可能控制流，换句话说，在已有实际输入得到的路径上，对分支路径条件进行取反，就可以让执行走向另外一条路径。
然后angr可以根据这些state的约束条件是否可以满足来判断该程序状态是否成立，或者是否是无法约束。
总的来说，angr就像是多线程版本的unicorn，同时保存了多个程序状态(state)，然后根据约束求解引擎，求出对应的路径的约束。
当然笔者也不是专门研究符号执行的，可能理解有些浅显甚至有误，希望读者可以指出。
那么是怎么通过angr来去除混淆的呢，这里讲一讲最基本的两种混淆，一个是控制流平坦化，另一种是虚假控制。
控制流平坦化
对于控制流平坦化来说，可以去了解一下基本的概念，比如主分发快，预分发块，真实块，序言块等概念。
其实这些概念都是从反混淆者的角度出发的概念，这里不做混淆原理的赘述。
想要去除这个混淆，就得弄清楚哪些是真实块以及这些真实块的后继是哪些真实块。
真实块的获取在这个例子中其实非常简单，不难发现所有的真实块都会跳转到预分发块处，而预分发块又跳转到主分发块。
那么只需要得到主分发块，然后通过他的前驱的得到预分发块，即可获取所有真实块了。
获取真实块的函数：
获取程序结构的代码：
获取到真实块之后就可以开始使用符号执行来去除混淆了，基本的思路就是，我们在每一个真实块上下断点。
每次从一个真实块出发，看看会在哪个断点下断下(这里其实直接判断active的state中有无该真实块)，就可以确定该真实块的后继，从而恢复出控制流。
这里时确定符号执行需要确定的一些信息，比如一个真实块是否只有一个后继，不然需要执行两次符号执行来确定两个后继，以及统计call指令避免进入到call的函数里影响去混淆过程。
之前提到过，angr符号执行是会边执行边收集约束，然后计算约束的可满足性。
由于当真实块有两个后继时，其必然存在一个条件指令，根据条件来决定控制流，所以我们只需要先设定这个条件成立获得一个后继，然后设置这个条件不成立获得一个后继。
这也就是上图中claripy.BVS(1,1)/claripy.BVS(0,1)的用途，分别对应了条件的成立与不成立，这里就出现了两个路径，能够获得两个后继。
我们不难发现，在这个去除混淆的过程中，我们到底使用上了angr的符号执行的特性么，事实上是没有的。
因为这里相当于只使用到了模拟执行的技术，虽然angr也可以作为模拟执行的引擎。
唯一与angr有关的可能主要就是ITE(if else then)的条件修饰，来达到获取两个后继的目的。
但是这也可以通过unicorn来hook指令，修改flag寄存器来实现获得两个路径对应的基本块。
所以实际上利用angr去除控制流平坦化是完全可行的，且没有缺陷的，只是在获得程序的真实块上还是需要做出一些改变来适应不同的控制流平坦化。
如果有时间，准备用unicorn写一遍（x
虚假控制流
看起来虚假控制流比控制流平坦化简单得多(?
这里我们自己试着使用angr来去除虚假控制流。
既然用上了angr，那就得用上angr符号执行的特点，我们的思路非常粗暴，直接让angr跑下去，跑完angr没有跑到的state所在的基本块，就是虚假的代码。
所以代码如下
然后我们弄一个idapython脚本来对基本块染下色，看看效果如何。
发现效果还是不错的
似乎我们直接就可以拿来用了，似乎是一个完美的去混淆方案？
我们仔细思考一下，真的是这样么，angr是如何确定哪些是真实的，哪些是虚假的呢？
优点
先考虑一下可行性，angr遇到未约束的条件时，会保存下两个state，这样则可以保留下真实的路径
而遇到不可能成立的路径，加入了无解的约束，angr发现是unsat的，即不可满足的，则可以辨别出是虚假控制流。
实现简单。
缺点
事实上angr是基于符号执行来遍历程序的所有路径，它是否能遍历所有路径其实取决于其约束求解引擎是否强大，这里采用的是z3
当它能明确发现这个条件是无法满足的时候就不会走向这个路径，我们可以称之为虚假控制流。
但是如果程序本身的逻辑中存在一个条件是非常难以满足的，或者说超出了约束求解引擎的能力，那么则有可能到达不了这个路径，就会被误标记为虚假的控制流，实际中是很少出现的。
但是还有一个问题，我们不难发现，我们是直接从函数的开头开始执行的，我们并没有对函数的参数进行约束，而且出现函数调用的时候我们也直接返回了未约束的结果。
那么 当这些未被约束的变量影响了循环的轮数会发生什么情况呢。
是的，由于angr不知道这个循环什么时候应该停止，就会出现一直循环的情况，最后路径爆炸，卡死。
譬如出现如下代码的时候，angr会直接卡死，此时去除混淆就失败了。
有的人可能会说，我们直接限制循环的轮数不久可以了吗，理论上可行，但是如果循环的轮数也影响了后面的if语句。
那么会导致angr无法遍历所有路径，最后导致路径的缺失，误标记为虚假控制流。
结语
我们不难发现angr其实是一个非常强大的工具，但是似乎仍然具有其局限性，在虚假控制流的去除上过于依赖angr特性，也带来了符号执行自身的缺陷。
所以虚假控制流这种混淆还是考虑静态优化来去除吧，控制流平坦化则只要是模拟执行似乎都能很好的去除。
当然有哪位大师傅有更好的想法，欢迎来交流讨论，另外控制流平坦化脚本这里是对腾讯某大佬的去混淆脚本做出的分析。
[复制链接]
发表于 2021-7-29 11:11
