OLLVM 快速学习

近来,ollvm在国内移动安全,尤其是安全加固上的使用越来越广泛,ollvm的混淆和反混淆也被视为比较高等的知识之一,让很多人感到无从下手,望尘莫及。如果你在google上搜索ollvm,你会发现第一页都是中文的搜索结果。其实,llvm和ollvm在国外是比较传统的东西,说到底也只是C++代码,难度大概等同于ART系统源码的程度。

本篇文章目地是为了从另一个从未出现的角度来让一个完全不懂llvm的新手快速上手ollvm,大神请直接跳过。

注意:本文因角度不同,若引起误会,纯属个人理解不同,本人不会作出任何解释,请谅解。

  1. 快速理解llvm、clang和ollvm的概念

我们不使用网上那些冗杂的阐述,一句话概括,llvm是一个完整的编译器架构,作用可以理解为制作一个编译器,llvm先将源码生成为与目标机器无关的LLVMIR代码,然后把LLVMIR代码先优化,再向目标机器的汇编语言而努力。经典编译器都可以分为前端、中层优化和后端:

[图片上传失败...(image-41e3a2-1523154756216)]

我们从上图也理解了clang,是前端的一个套件,但在实际使用时,你会感觉到,我们只可以感受到clang,也只是在使用clang,因为编译的时候,是调用clang或clang++来编译源码。Ollvm呢?是基于LLVM的代码分支的代码混淆,对谁混淆?什么时候混淆?在中间表示IR层,通过编写pass(英文翻译:经过,自己理解,也不需要知道其正规的概念)来混淆IR,这样目标机器的汇编语言也就被混淆了:

[图片上传失败...(image-e4c6f6-1523154756216)]

当然,这里需要知道的是,即使不用ollvm,LLVM本身也是有很多pass的,我们这样简单的理解,LLVMIR本身是一种与目标机器无关的虚拟化代码,而在转化为真实汇编代码时,肯定要删除一些虚拟的东西,自然也需要pass。这样,我们就用不到200字的阐述完成了网上很多长篇大论才能达到的理解。

2、llvm与ollvm在移动加固的发展

在开始制作安卓vmp时,llvm其实是被我们暂时放弃的一个方案。因为从smali上想可以使用llvm,还必须先克服smali到底怎么成为C/C++,当时他被提及,很大原因是安卓系统后端使用了llvm,但其实ART下和llvm关系已经不大了。当时都急于上架vmp,因此大部分都是采用折衷策略,如自定义dex结构、置换指令等。随着发展,smali2c渐渐成熟,可以smali2c了,自然ollvm是必然的一个选择。但一个新的问题出现了,就像很多加固网站,需要提供源码,或编译过程中的中间文件,说到底还是源码加固。

所以想做二进制加固的ollvm分支,需要注意一下。想做到二进制加固,没有一个自己的反汇编解析引擎是不可能的,目前用capstone比较多。但要真正做自己的二进制VMP加固,首先你得有一个反汇编引擎能把指令抽出来,同时转为了自己的虚拟指令,如果接上了llvm,最完美的方案就是把LLVMIR给虚拟为自己的虚拟指令,这个难度相当于把.netframwork的IL指令给虚拟了。可以先逃避了这两个问题,ARM指令得到后,利用简单的函数式指令解析来完成这个虚拟过程。我们认为,如果只有LLVMIR,如ollvm,是没有虚拟的,只是混淆。

3、利用beyondcompare+****sourceinsight4****的ollvm快速上手

Ollvm如果你去网上搜索资料学习,大概是这么几种文章:“LLVM编译器架构王者-编写简单的C虚拟编译器”、“ollvm+ndk编译环境的搭建”、“从0开始学习LLVM”、“LLVM PASS的完整编写”,当然这些文章都很不错。但对于一个新手来说,看了和没看其实区别不大。因为我们要学习ollvm,必须先抓住关键,到底一个llvm是如何变为ollvm,这是最简单,最直观的学习方式。

我们去下载一份llvm4.0源码(官网http://releases.llvm.org/4.0.1/llvm-4.0.1.src.tar.xz)和ollvm源码(https://github.com/obfuscator-llvm/obfuscator/tree/llvm-4.0),之所以使用4.01,因为4.0.0是2017.03的,而4.01相对时期接近一点。然后拉入beyondcompare,这里把会话设置取消勾选“比较时间戳”,以及把比较设置为“仅文件”,时间戳因为比较时间不是我们的重点,而之所以不采用原先的文件结构比较,是因为两者都有一些空文件夹,没有比较的意义。如图:

[图片上传失败...(image-6a7250-1523154756216)]

[图片上传失败...(image-49190c-1523154756216)]

看来主要的差别就在这些文件夹里了。先看最外层的CMakeLists.txt(整个工程使用cmake编译)等3个文件:基本都是加入了产品的一些信息和协议:

[图片上传失败...(image-827a5d-1523154756216)]

主要是其他四个文件夹:

utils文件夹:主要是Revision的细微差别

[图片上传失败...(image-294408-1523154756216)]

[图片上传失败...(image-21cb4-1523154756216)]

tools文件夹:ollvm中有clang文件夹,也可以看出clang是作为工具在llvm中存在,而llvm中并没有此文件夹,在llvm官网中clang是作为单独源码而存在

[图片上传失败...(image-eea73f-1523154756216)]

include文件夹(整个文件夹内都是.h文件夹):

[图片上传失败...(image-ac8105-1523154756216)]

Ollvm多了llvm\Transforms\obfuscation文件夹,可以看出ollvm添加了一些功能头文件,一共6个文件。其中有5个我们可以理解为具体参数功能,fla 参数表示使用控制流平展(Control Flow Flattening)模式,sub参数表示使用指令替换(Instructions Substitution)模式,bcf参数表示使用控制流伪造(Bogus Control Flow)模式,aesSeed参数表示aes加密随机种子,split参数表示分离代码块,我们常用的是sub\bcf\fla。混淆参数代码我们在接下来分析,先看Utils.h文件

Utils.h(功能箱):

[图片上传失败...(image-1eda5-1523154756216)]

其实这里也可以看出来,ollvm基于了llvm,使用了llvm的头文件,这些头文件也在该include文件夹。

lib文件夹(\lib\Transforms)

[图片上传失败...(image-c92291-1523154756214)]

这里稍微麻烦点,我们还是从最外层的两个文件分析,主要添加了obfuscation目录的编译和构建:

CMakeLists.txt:

[图片上传失败...(image-20127c-1523154756214)]

LLVMBuild.txt:

[图片上传失败...(image-eb9af6-1523154756214)]

再来看IPO文件夹的两个文件:

LLVMBuild.txt:

[图片上传失败...(image-4a9d24-1523154756214)]

PassManagerBuilder.cpp(从文件名可以看出,pass管理生成,ollvm就是写pass),我们分三部分解析:

导入ollvm特有的头文件

[图片上传失败...(image-abaca3-1523154756214)]

添加混淆参数flag:

[图片上传失败...(image-bee5cd-1523154756214)]

首先进行全局aes(aesSeed)随机种子密码初始化,接着把ollvm混淆功能函数(split\fla\bcf\sub)添加进去,而添加的这些函数,都可以在上面include文件夹的头文件找到,

BogusControlFlow.h、Flattening.h、Substitution.h、CryptoUtils.h等。

[图片上传失败...(image-ae17ef-1523154756214)]

以BogusControlFlow为例来看:

[图片上传失败...(image-d35bc-1523154756214)]

再以CryptoUtils为例来看:

[图片上传失败...(image-3aeec-1523154756214)]

[图片上传失败...(image-1d2cb-1523154756214)]

最后以Split为例来看:

Split.h(分离基础块,这里可能对于BasicBlock基础块不太明白,就简单理解为代码块,也可以推测LLVM基于的是模块):

[图片上传失败...(image-dcfb2e-1523154756214)]

如果存在一些疑惑,请仔细对比一看,是不是全部对上了?

最后一个文件夹,obfuscation文件夹,里面就是具体的CPP代码了,是不是要加点,然后,,,

[图片上传失败...(image-5e22cf-1523154756212)]

当然我们现在还是没有接触到具体的代码,但对于以上的逻辑分析清楚特别重要,为以后我们自己的pass添加铺路。下面以BogusControlFlow.cpp为例,来看看pass的编写。


我们使用sourceinsight4可以非常清晰的看到该代码的逻辑组成

先回到BogusControlFlow.h,看到了pass.h

[图片上传失败...(image-9f3d22-1523154756212)]

接着来到BogusControlFlow.cpp的llvm pass代码处,而createBogus函数,我们在前面的PassManagerBuilder.cpp是见到过的。

[图片上传失败...(image-9a5f35-1523154756212)]

往下跟,BogusControlFlow是一个结构体,跟到runOnFunction,

[图片上传失败...(image-bcce3a-1523154756212)]

runOnFunction调用了bogus函数

[图片上传失败...(image-cf0657-1523154756212)]

bogus调用了addBogusFlow函数

[图片上传失败...(image-276de0-1523154756212)]

addBogusFlow函数意为添加假流程,看来这里就是比较核心的函数实现了

[图片上传失败...(image-8ad2d0-1523154756212)]

其实英文写的都是非常清楚的,现在翻译挺智能的,意思为:

[图片上传失败...(image-2e2231-1523154756212)]

这里意思大概应该结合着前面学习都理解了,除了phi节点,对数据结构有点了解的朋友都知道节点,节点就有前驱和后续节点,直接看代码理解,

[图片上传失败...(image-e9f940-1523154756212)]

但在真实代码中,phi并不存在,因此我们要继续消除phi,这也是转为真实指令的重要一步,对于以上代码,我们可以如下消除:

[图片上传失败...(image-562514-1523154756212)]

bb就是我们刚刚见到的BasicBlock,这样我们就消除了phi节点,同时更进一步理解了addBogusFlow函数的意思,LLVM中使用reg2mem pass来对phi进行消除。至此,一切又回到了我们最初对LLVM的介绍。

以上看雪链接:https://bbs.pediy.com/thread-225756.htm

你可能感兴趣的:(OLLVM 快速学习)