[翻译]SATURN反混淆框架
SATURN
基于LLVM的反混淆框架
摘要
近几年，软件的混淆强度一直在不断提升。基于编译器的混淆已经成为业界事实上的标准，最近的一些论文也表明软件的保护方式使用的是编译器级别的混淆。在这篇文章中，我们会介绍一个基于LLVM的通用的反混淆和混淆代码重编译的方式。我们会展示如何将二进制代码提升为编译器中间语言LLVM-IR，并解释如何使用基于编译器级的优化和可满足性模理论（SMT）的迭代控制流图控制算法[3]，将混淆后的二进制函数还原出它的控制流图。这一方法不会对混淆后的代码做任何假设，取而代之的是使用LLVM中的强编译器级优化以及Souper Otimizer来简化混淆。我们的实验结果表明这一方法能有效的简化甚至移除开源的和商业混淆器中常用的混淆技术，如Constant unfolding，基于不透明表达式的certain arithmetic，死代码插入，虚拟控制流或是整数编码。恢复后的LLVM-IR能被进一步地被其他反混淆器处理，这些其他的反混淆器和混淆时使用的技术处于同一级别，或是会被某种LLVM后端编译到与其同一级别。这篇论文最终的成果是一个叫SATURN的反混淆工具（图1）
图1：SATURN反混淆框架的流程图
关键词
逆向工程，llvm，code lifting，混淆，反混淆，静态软件分析，二进制重编译，二进制重写
1. 简介
近些年，我们发现基于中间语言和源码的混淆器变得越来越流行，主要是因为各种目标架构变得越来越多样，尤其是移动市场[11]。传统的基于二进制的混淆方案容易受到基于模式匹配或是简单的静态分析的攻击，而基于中间语言和源代码的混淆则难以被有效地攻击。现代保护工具大多是基于 一些最先进的框架，如LLVM，这种工具支持更复杂的混淆逻辑[11][23]。
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
