LLVM, Clang для реверсинга

Сейчас на форуме: r0lka, johnniewalker, vsv1, NIKOLA (+4 невидимых)

<< . 1 . 2 .

Посл.ответ	Сообщение
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 09 декабря 2019 14:54 · Личное сообщение · #1 Собственно, в чем профит, кроме построения синтаксич деревьев?

ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 31 января 2020 09:56 · Личное сообщение · #2 mak пишет: получить информацию, специфичную для текущего состояния. Как профит - внести корректировку в данную инфу и отправить далее на следующий шаг исправленный вариант. Но это для всяких протекторов годится по идее. Или в случаях, когда вижу, что компмлятор не смог самостоятельно родить оптимизированный код - не использовал регистры в цикле, который работает 100500 раз или когда хочется экзотики в виде использования регистра ESP/RSP, как общего назначения, а EAX/RAX вместо него. Но llvm только предоставляет эту инфу, а инструменты ее корректировки - ~~блокнот~~ костылятся самостоятельно без участия llvm.mak пишет: через тест можно понять ..
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 31 января 2020 10:38 · Поправил: plutos · Личное сообщение · #3 может кому-то будет интересно: --> Tutorial <--: Creating an LLVM Backend for the Cpu0 Architecture, Release 3.9.1 Почти без "воды", конкретные примеры (10,000 lines of source code!), даже я начинаю понимать! Book example code: The example code lbdex.tar.gz is available in:--> Link <-- ну и --> LLVM <--by Chris Lattner: на мой взгляд очень толковый обзор big picture, именно то, что искал такой начинающий в этой области человек, как я. Корифеи наверное это уже и так знают, но если кто только вступает "в тему", то в самый раз! ----- Give me a HANDLE and I will move the Earth. \| Сообщение посчитали полезным: mak, sefkrd, Hugo Chaves, bartolomeo, ELF_7719116
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 07 февраля 2020 13:38 · Поправил: mak · Личное сообщение · #4 SATURN -- Software Deobfuscation Framework Based on LLVM The strength of obfuscated software has increased over the recent years. Compiler based obfuscation has become the de facto standard in the industry and recent papers also show that injection of obfuscation techniques is done at the compiler level. In this paper we discuss a generic approach for deobfuscation and recompilation of obfuscated code based on the compiler framework LLVM. We show how binary code can be lifted back into the compiler intermediate language LLVM-IR and explain how we recover the control flow graph of an obfuscated binary function with an iterative control flow graph construction algorithm based on compiler optimizations and SMT solving. Our approach does not make any assumptions about the obfuscated code, but instead uses strong compiler optimizations available in LLVM and Souper Optimizer to simplify away the obfuscation. Our experimental results show that this approach can be effective to weaken or even remove the applied obfuscation techniques like constant unfolding, certain arithmetic-based opaque expressions, dead code insertions, bogus control flow or integer encoding found in public and commercial obfuscators. The recovered LLVM-IR can be further processed by custom deobfuscation passes that are now applied at the same level as the injected obfuscation techniques or recompiled with one of the available LLVM backends. The presented work is implemented in a deobfuscation tool called SATURN. Comments: reverse engineering, llvm, code lifting, obfuscation, deobfuscation, static software analysis, binary recompilation, binary rewriting Subjects: Cryptography and Security (cs.CR); Symbolic Computation (cs.SC) Journal reference: 3rd International Workshop on Software PROtection, Nov 2019, London, United Kingdom Info --> Link <-- Pdf --> Link <-- Tests --> Link <-- ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube \| Сообщение посчитали полезным: plutos, v00doo
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 08 февраля 2020 02:43 · Личное сообщение · #5 mak пишет: SATURN -- Software Deobfuscation Framework Based on LLVM А source code for saturn.dll они нигде не дают? ----- Give me a HANDLE and I will move the Earth.
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 19 апреля 2020 09:06 · Личное сообщение · #6 Еще один tutorial по теме LLVM and Binary Obfuscation. Build your first --> LLVM Obfuscator <-- Мне было интересно, поэтому решил поделиться, но, как всегда: НИКАКОЙ ГАРАНТИИ ЗА КАЧЕСТВО! ----- Give me a HANDLE and I will move the Earth.
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 19 апреля 2020 13:33 · Личное сообщение · #7 Скажите, пожалуйста, я правильно понимаю, что следующее теоритически(практически?) возможно: обфусцированный код переводим в IR (LLVM? MIASM?), далее в C (JuliaComputing/llvm-cbe?), далее в компилятор с опциями -Ox, достаём асм код и вставляем в дизасм? Или это я совсем примитивно размышляю? =)
r_e Ранг: 590.4 (!), 408thx Активность: 0.36↘0.18 Статус: Модератор	Создано: 19 апреля 2020 14:41 · Личное сообщение · #8 Правильно понимаешь, но прийдется допилить напильником. ----- старый пень
cppasm Ранг: 251.3 (наставник), 81thx Активность: 0.14↘0.11 Статус: Участник	Создано: 19 апреля 2020 16:08 · Личное сообщение · #9 Illuzion - много лишних действий. Оптимизатор работает на уровне LLVM IR, не надо в C переводить и потом собирать.
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 21 апреля 2020 01:01 · Поправил: Illuzion · Личное сообщение · #10 Попробовал, вообще вроде как неплохо сворачивает. Небольшой пример из реального протектора: Code: .data? res DWORD ? _test proc mov edx, 0F0E5h add edx, 354D723Dh sub edx, 354E5F2Eh push esi mov [esp], edx bswap edx mov edx, eax pop eax ret _test endp start: call _test mov res, eax end start Получаем такое: Code: int32_t entry_point(void); int32_t function_401000(void); // --------------------- Global Variables --------------------- int32_t g1 = 0; // 0x402000 // ------------------------ Functions ------------------------- // Address range: 0x401000 - 0x40101b int32_t function_401000(void) { // 0x401000 return 1012; } // Address range: 0x40101b - 0x401025 int32_t entry_point(void) { int32_t result = function_401000(); // 0x40101b g1 = result; return result; } После компиляции "gcc -O3" с парой Warning получаем такое: Code: mov eax, 3F4h Прямо как-то вообще же красиво ? Всё посчитал и свернул как надо. Второй пример попробовал из этого топика Online Deobfuscator и получилось вот что: Code: sub_100401080 proc near var_4= dword ptr -4 push rbp mov rbp, rsp sub rsp, 10h mov eax, [rbp+var_4] imul eax, 57h ; 'W' add rsp, 10h pop rbp retn sub_100401080 endp cppasm, а Вы предлагаете вот прямо из такой каши (см. ниже) делать оптимизацию и сразу в асм сворачивать? Ну.. Конечно для простых примеров и пары mov/push это вроде не сложно реализовать, а для более сложного страшновато выглядит. Или готовые полу-/средства есть? Code: source_filename = "test" target datalayout = "e-p:32:32-f64:32:64-f80:32-n8:16:32-S128" @global_var_402000 = local_unnamed_addr global i32 0 define i32 @function_401000() local_unnamed_addr { dec_label_pc_401000: ret i32 1012, !insn.addr !0 } define i32 @entry_point() local_unnamed_addr { dec_label_pc_40101b: %0 = call i32 @function_401000(), !insn.addr !1 store i32 %0, i32* @global_var_402000, align 4, !insn.addr !2 ret i32 %0, !insn.addr !2 } !0 = !{i64 4198426} !1 = !{i64 4198427} !2 = !{i64 4198432}
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 21 апреля 2020 02:52 · Поправил: plutos · Личное сообщение · #11 plutos пишет: может кому-то будет интересно: --> Tutorial <--: Creating an LLVM Backend for the Cpu0 Architecture, Release 3.9.1 кто-нибудь пытался по этому туториалу собрать Cpu0 example code? Appendix A: Getting Started: Installing LLVM and the Cpu0 example code Все собирается нормально, но после всех шагов в ~/llvm/test/src/lib/Target/Cpu0/ExampleCode/lbdex/InputFiles эти самые ExampleCode/lbdex/InputFiles отсутствуют. Т.е. ~/llvm/test/src/lib/Target/Cpu0 есть, а дальше нет. Использовал Cpu0 example code, lbdex отсюда: http://jonathan2251.github.io/lbd/lbdex.tar.gz. ----- Give me a HANDLE and I will move the Earth.
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 21 апреля 2020 03:32 · Поправил: Bronco · Личное сообщение · #12 общие схемы оптимизации работают только на примитивном морфе, под каждую задачу свой рашпиль, и всё, от общих схем начинаешь уходить, и упираешься в шаблоны. ибо раскручивать многое довольно сложно, сейчас как правило оно многослойное, и с матрицей перестановок. но самое главное, что перед рашпилем, надо хорошо повозиться с исходником ручками и глазками. хз есть ли смысл тратить время на изучение такого огромного проекта как ллвм. ибо памяти и дисковой и оперативной требует то же не мало. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
cppasm Ранг: 251.3 (наставник), 81thx Активность: 0.14↘0.11 Статус: Участник	Создано: 21 апреля 2020 11:27 · Личное сообщение · #13 Illuzion пишет: cppasm, а Вы предлагаете вот прямо из такой каши (см. ниже) делать оптимизацию и сразу в асм сворачивать? Ну.. Конечно для простых примеров и пары mov/push это вроде не сложно реализовать, а для более сложного страшновато выглядит. Или готовые полу-/средства есть? Это не надо реализовывать. В LLVM есть оптимизатор (opt), который оптимизирует код после компиляции, и он работает с LLVM IR. Надо из нативного кода получить LLVM IR и на него натравить opt. Ну насколько сильно то что он наоптимизирует соответствует тому что ты хочешь это вопрос, но по идее будет то же самое что при компиляции C кода получается. Как по мне, поднимать LLVM IR по Си кода это сложная задача, и излишняя в данном случае. Ну и вот такое ещё есть, но я не юзал: https://github.com/google/souper \| Сообщение посчитали полезным: Illuzion
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 21 апреля 2020 15:35 · Личное сообщение · #14 Bronco пишет: общие схемы оптимизации работают только на примитивном морфе, под каждую задачу свой рашпиль, и всё, от общих схем начинаешь уходить, и упираешься в шаблоны. ибо раскручивать многое довольно сложно, особенно когда код смешанный и с перестановками. но самое главное, что перед рашпилем, надо хорошо повозиться с исходником ручками и глазками. хз есть ли смысл тратить время на изучение такого огромного проекта как ллвм. ибо памяти и дисковой и оперативной требует то же не мало. Общие схемы нормально работают на любом коде, т.к. есть абстракция в LLVM-IR, но перед этим конечно нужно развернуть код в линейный, а это большая тема, много техник есть и каждая подходит в своём конкретном месте, но есть и универсальные, у тебя они есть, т.к. ты уникорн используешь. А шаблоны там реализуются очень удобно, можно гибко настраивать оптимизацию под каждый случай (редкий случай). Я ожидал, что Ида Про будет развивать это "линейное" направление, но они тупо слились со своим питоном и системой плагинов. cppasm пишет: Ну и вот такое ещё есть, но я не юзал: https://github.com/google/souper Линейный фронтенд нужен в любом случае, но проект классный. ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 21 апреля 2020 23:24 · Личное сообщение · #15 mak пишет: Общие схемы нормально работают на любом коде, никто не спорит, только оппоненты не дебилы, и то же юзают эти же тулзы, и на них шлифуют свои гавнокодища. так что ожидать чуда от такой оптимизации не стоит, а время на адаптацию оно заберёт. тем более, не ведая чего ты хочешь получить на выходе, а опираясь только на промежуточный результ, можно довольно долго ковырять эти портянки,и не факт что выхлоп будет правильный, или без ошибок. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 22 апреля 2020 01:13 · Поправил: plutos · Личное сообщение · #16 plutos пишет: кто-нибудь пытался по этому туториалу собрать Cpu0 example code? Если кто-нибудь столкнется с подобной проблемой - решение очень простое: используйте --> updated <-- version of this tutorial: Другие, старые версии, очень похожи на настоящиe, но не работают! ----- Give me a HANDLE and I will move the Earth.
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 23 апреля 2020 01:53 · Поправил: Illuzion · Личное сообщение · #17 Попробовал много разных связанных с LLVM проектов, но так до конца и не понял про оптимизацию. Вроде "оно" и оптимизирует код, но его совсем потом не узнать - получается вообще другой код. Точнее, может он и делает то же самое (не уверен я), но выглядит как совсем две разные программы. Вот, например длинная портянка обфускации (просто видно что большая): Code: push 0 ;nop?? push esp ;nop?? ;nop***** push esi mov [esp], edx bswap edx mov edx, eax pop eax xchg eax, edx ;----------------------- push esi ;nop?? ;nop*** mov esi, 0CFh ;used later with MOV ;nop*** push edx mov dl, bl pop edx ;----------------------- push ecx ;nop?? ;nop*** push edi bswap edi pop edi ;mov ecx, edi ;edi is undefined and ecx used later, so NOP push edi mov ecx, eax ;ecx == old_eax pop eax ;eax == edi xchg eax, ecx ;ecx == edi, eax == old_eax ;----------------------- push edx ;nop?? ;mov esi, ebx----------- push ebx pusha mov esi, [esp+20h] lea esp, [esp+24h] ;nop*** push esi mov ecx, edi lea esp, [esp+4] ;nop*** push eax mov dl, 7Dh ;used later with MOV pushf push eax push esi mov eax, [esp+0Ch] lea esp, [esp+10h] ;----------------------- push ebx ;nop?? ;nop*** mov ecx, 57h ;used later with MOV ;----------------------- pushf ;nop?? ;shl ebx, 1? pusha mov esi, 0E4h not esi sub esi, 3099356Bh ;ESI == 0xCF66C9B0 mov dl, 0F8h ;used later with MOV add ebx, [esp+esi+30993654h] ;add ebx, [esp+4] ==> add ebx, ebx ==> shl ebx, 1? add esp, 20h ;nop*** push eax sub cl, 0AEh ;used later with MOV pop eax ;mov ecx, ebp push ebp push 180h mov edx, 5B1F04F1h xor edx, 6ADB1F45h add edx, 0CE3BE450h ;edx == 4 mov ecx, [esp+edx] ;mov ecx, [esp+4] ==> mov ecx, ebp add esp, 8 ;----------------------- push ecx ;nop?? push eax ;nop?? ;nop*** mov [esp], eax ;----------------------- push edx ;nop?? ;push edi --> nop?? mov edx, 58h rol edx, 2 add edx, 130D4246h ;EDX == 130D43A6 mov [esp+edx-130D43A6h], edi ;mov [esp], edi sub edi, edx ;used later with MOV ;----------------------------------------------- add esp, 2Ch ;clear stack up to this function start, ret address on the top ;----------------------------------------------- ;----------------------- sub esp, 200h sub esp, 200h mov ebp, esp ;nop*** mov ebx, 1C0Fh ;nop see below mov ecx, 5E9Ah ;used later with MOV ;nop*** or edi, 0F3h ;used later with MOV ;nop*** push esi mov esi, eax pop esi ;nop*** mov edi, ecx add edi, 14h add edi, 0FFFFFEACh ;EDI == 0x5D5A sar cl, 1Fh mov esi, [ebp+edi-5B72h] ;mov esi, [ebp+1E8] ==> nop, less than stack decrement ;nop*** not ebx xor ebx, 0F9880EC8h ;EBX == 0677ED38 ;nop*** push ebx mov ecx, ecx pop ebx ;mov edx, [ebp+3FCh] mov edx, [ebp+ebx-677E944h] add edx, 8 ;EDX == ret address ;nop*** mov ebx, 0EFh ;mov [ebp+3F4], edx mov ecx, ebx shl ecx, 5 xor ecx, 2A95E235h xor bl, 6 mov [ebp+ecx-2A95FBE1h], edx ;----------------------- mov esi, 3DF4B8h ;nop*** mov ebx, 0F991h mov cl, ah mov ecx, ebx add ecx, 9Fh add ecx, 0FFFF072Ch ;ecx == 0x15C ;nop*** push ecx mov [esp], eax bswap eax pop eax ;mov [ebp+15C], esi mov [ebp+ecx+0], esi ;---------------------- mov esi, 3DF5A4h mov ebx, 89h ;nop*** pusha mov ecx, 4Fh rol ecx, 5 add ecx, 2CD226AEh ;ecx == 2CD2308E push ecx ;nop*** mov edi, 24h add edi, 45D4h sub edi, 45F8h mov [esp+edi], edx ;nop*** and edx, edi ;mov edx, ecx pop edx ;mov edx, ebx mov edx, [esp+ecx-2CD2307Eh] add esp, 20h ;---------------------------------- ;mov edx, ebx ;---------------------------------- ;nop*** shr edx, 0Fh sub edx, 0DDB39F3Fh ;edx == 0x224C60C1 mov ebx, eax ;mov [ebp+0AC], esi mov [ebp+edx-224C6015h], esi mov ebx, 3DF2D4h call ebx По-человечески, получается, всего лишь: Code: sub esp, 0x400 mov ebp, esp mov edx, [ebp+0x3FC] mov [ebp+0x3F4], edx mov esi, 0x3DF4B8 mov [ebp+0x15], esi mov eax, 1 mov ebx, eax mov esi, 0x3DF5A4 mov [ebp+0xAC], esi call 0x3DF2D4 А после оптимизации opt или retdec: Code: push ebp push ebx push edi push esi sub esp, 220 call ___decompiler_undefined_function_0 mov esi, eax call ___decompiler_undefined_function_0 mov edi, eax call ___decompiler_undefined_function_0 mov ebp, eax call ___decompiler_undefined_function_0 mov dword ptr [esp + 76], eax # 4-byte Spill call ___decompiler_undefined_function_1 mov byte ptr [esp + 16], al # 1-byte Spill call ___decompiler_undefined_function_1 mov byte ptr [esp + 80], al # 1-byte Spill call ___decompiler_undefined_function_1 mov byte ptr [esp + 60], al # 1-byte Spill call ___decompiler_undefined_function_1 mov byte ptr [esp + 84], al # 1-byte Spill call ___decompiler_undefined_function_1 mov ebx, eax call ___decompiler_undefined_function_1 mov bh, al call ___decompiler_undefined_function_2 mov byte ptr [esp + 72], al # 1-byte Spill test bh, 1 jne LBB0_3 # %bb.1: # %dec_label_pc_3d test bl, 1 jne LBB0_3 # %bb.2: # %dec_label_pc_56 and ebp, -256 or ebp, 125 mov dword ptr [esp + 204], ebp LBB0_3: # %dec_label_pc_6b mov eax, dword ptr [esp + 204] mov dword ptr [esp + 88], eax mov edx, dword ptr [esp + 96] mov dword ptr [esp + 200], 384 lea ecx, [esp + 200] mov eax, ecx add eax, 8 mov dword ptr [esp + 100], 4 jns LBB0_5 # %bb.4: # %dec_label_pc_b4 add edx, edi movzx edx, dh mov dword ptr [esp + 100], edx LBB0_5: # %dec_label_pc_b6 mov edx, ecx xor edx, -2147483648 test eax, eax sets byte ptr [esp + 26] test eax, edx mov edx, dword ptr [esp + 100] sets byte ptr [esp + 27] cmp ecx, -8 mov dword ptr [esp + 104], eax mov dword ptr [esp + 108], edx jb LBB0_7 # %bb.6: # %dec_label_pc_c0 or edx, esi mov dword ptr [esp + 104], edx sets byte ptr [esp + 26] mov byte ptr [esp + 27], 0 mov dword ptr [esp + 108], edx LBB0_7: # %dec_label_pc_c2 cmp dword ptr [esp + 104], 0 jne LBB0_11 # %bb.8: # %dec_label_pc_c8 mov eax, dword ptr [esp + 108] mov cl, byte ptr [esp + 26] mov dword ptr [esp + 88], eax cmp cl, byte ptr [esp + 27] jne LBB0_10 # %bb.9: # %dec_label_pc_d4 lea eax, [esp + 88] mov dword ptr [esp + 92], eax mov dword ptr [esp + 96], offset _global_var_68 lea eax, [esp + _global_var_24+72] lea ecx, [esp + 96] add ecx, offset _global_var_28 mov dword ptr [esp + 208], eax je LBB0_11 LBB0_10: # %dec_label_pc_f6 lea eax, [esp + 88] mov dword ptr [esp + 92], eax lea eax, [esp + 220] mov dword ptr [esp + 208], eax LBB0_11: # %dec_label_pc_160 mov eax, dword ptr [esp - 108521736] add eax, 8 mov dword ptr [esp + 1016], eax mov dword ptr [esp + 352], 4060344 mov edx, dword ptr [esp + 76] # 4-byte Reload mov byte ptr [esp], dl mov dword ptr [esp + 8], eax mov dword ptr [esp + 12], 137 lea edi, [esp + 4] mov dword ptr [esp + 20], edi mov dword ptr [esp + 48], edi mov dword ptr [esp + 52], 23898 mov dword ptr [esp + 40], 751972494 mov dword ptr [esp + _global_var_24+4], eax mov ecx, dword ptr [esp + 68] shr ecx, 15 mov dword ptr [esp + ecx + 176], 4060580 movsx ecx, dl push ecx push 348 push eax push 137 push edi push edi push 4060580 push 23898 call _unknown_3df2d4 Оптимизация вообще неверно сделана. Перед последним вызовом 0x03df2d4 там в стек летят непонятные числа. Откуда они взялись, как он оптимизировал - мрак И ещё вопрос. При работе с шаблонами мы руководствуемся именно шаблонами инструкций? Что, собственно, просто. Т.е. : Code: mov r32, imm32_1 xor r32, imm32_2 add r32, imm32_3 Сворачиваем в: Code: mov** r32, (imm32_1 ^ imm32_2 + imm32_3) Или же мы Taint Analysis всей трассы делаем? Т.е. упрощаем код не по инструкциям, а по изменениям, которые этот код производит. Собираем все изменения и в один прекрасный момент машина/наш код понимает, что изменить data по адресу 0х1 и 0х4 с числа семь на число восемь можно было всего лишь одной инструкцией X, а остальные 20 инструкций были ненужны - и оп, чудо, удаляем их?
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 23 апреля 2020 04:37 · Личное сообщение · #18 Illuzion пишет: Вот, например длинная портянка обфускации абстракция не глубокая, ваще почти нет, всё как на ладошке. многое читаемо, под морфом только дисплейшен и имидиата. перестановок нет, pushad&popad нет, радуйся что за контекстом следить не надо. если с промежуточным кодом тебе комфортней и есть преимущества, сам дели на блоки и скармливай оптимайзеру&решателю. Illuzion пишет: Оптимизация вообще неверно сделана. шо и требовалось доказать, улыбнуло. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 23 апреля 2020 10:36 · Личное сообщение · #19 Illuzion Знакомая вм Ну ты пока в самом начале пути. Рано или поздно ты придешь к этому --> Link <-- и заметь, там уже чистый код с распознанных и деобфусцированных хендлеров Сам интерпретатор выполняет байткод который тоже разбавлен мусором. На чём собственно, я и слился Оригинальный код ты всё равно уже никогда не достанешь. Illuzion пишет: И ещё вопрос. При работе с шаблонами мы руководствуемся именно шаблонами инструкций? Да, но там их практически никак не применить Добавлено спустя 50 минут Bronco Извини, но ты не мог бы по-русски писать, хоть немного? Я, наверное, не совсем нуб в "сленге", но реально иногда вообще не понимаю о чем ты пишешь, как впрочем и автор х64dbg. Что такое "абстракция не глубокая" и "дисплейшен"? Там есть и перестановки регистров, и pushad&popad, и за контекстом следить надо... а это чуть меньше чем 256 rvm регистров, Речь про RISC подобную машину с примитивными операциями("load","store" и простыми мат. операциями "+", "-", "*", "/", "not", "and") \| Сообщение посчитали полезным: Illuzion
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 23 апреля 2020 11:30 · Поправил: Illuzion · Личное сообщение · #20 SReg пишет: Illuzion Знакомая вм Ну ты пока в самом начале пути. Не совсем так =) Квест "сделать что-надо" я прошёл достаточно просто. Решаю квест "как оно работает", мне кажется, он на порядок сложнее. Но главное, чтобы было интересно SReg пишет: Сам интерпретатор выполняет байткод который тоже разбавлен мусором. Там часто в критических местах RET из ВМ на абсолютно чистую функцию ведёт, где проверки имя/код и т.п. SReg, а вообще, теоритически реально ли по изменениям какой-либо информации в регистрах/памяти сгенерировать код, который бы изменения такие же делал? Т.е. не упростить данное, а именно отследить все изменения и сделать новый код?
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 23 апреля 2020 11:44 · Личное сообщение · #21 Illuzion пишет: Самое главное, что часто в критических местах RET из ВМ на абсолютно чистую функцию ведёт. Там что-то авторы не доделали. Ну, не будь слишком самоуверенным, в той другой твоей теме, я просто поленился тот бред комментировать Ты про какой ret, приведи пример? Всё там сделано как надо. ret там только в конце хендлера 'vm_exit' после восстановления контекста (vm_ctx->real_ctx)
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 23 апреля 2020 11:59 · Поправил: Illuzion · Личное сообщение · #22 SReg пишет: в той другой твоей теме, я просто поленился тот бред комментировать В чём был бред там? Конкретней, пожалуйста. SReg пишет: Ты про какой ret, приведи пример? Пример: Code: 00DE4AE0 SUB ECX, 0x4 00DE4AE3 MOV DWORD PTR DS:[ECX], EAX 00DE4AE5 MOV EAX, DWORD PTR DS:[EDI + 0x50] 00DE4AE8 SUB ECX, 0x4 00DE4AEB MOV DWORD PTR DS:[ECX], EAX 00DE4AED MOV EAX, DWORD PTR DS:[EDI] 00DE4AEF SUB ECX, 0x4 00DE4AF2 MOV DWORD PTR DS:[ECX], EAX 00DE4AF4 MOV EAX, DWORD PTR DS:[EDI + 0x4] 00DE4AF7 SUB ECX, 0x4 00DE4AFA MOV DWORD PTR DS:[ECX], EAX 00DE4AFC MOV EAX, DWORD PTR DS:[EDI + 0x8] 00DE4AFF SUB ECX, 0x4 00DE4B02 MOV DWORD PTR DS:[ECX], EAX 00DE4B04 MOV EAX, DWORD PTR DS:[EDI + 0xC] 00DE4B07 SUB ECX, 0x4 00DE4B0A MOV DWORD PTR DS:[ECX], EAX 00DE4B0C MOV EAX, DWORD PTR DS:[EDI + 0x10] 00DE4B0F SUB ECX, 0x4 00DE4B12 MOV DWORD PTR DS:[ECX], EAX 00DE4B14 MOV EAX, DWORD PTR DS:[EDI + 0x14] 00DE4B17 SUB ECX, 0x4 00DE4B1A MOV DWORD PTR DS:[ECX], EAX 00DE4B1C MOV EAX, DWORD PTR DS:[EDI + 0x18] 00DE4B1F SUB ECX, 0x4 00DE4B22 MOV DWORD PTR DS:[ECX], EAX 00DE4B24 MOV EAX, DWORD PTR DS:[EDI + 0x1C] 00DE4B27 SUB ECX, 0x4 00DE4B2A MOV DWORD PTR DS:[ECX], EAX 00DE4B2C LEA EAX, DWORD PTR DS:[ESI + 0xE668C0] 00DE4B32 MOV BYTE PTR DS:[EAX], 0x0 00DE4B35 MOV ESP, ECX 00DE4B37 POPAD 00DE4B38 POPFD 00DE4B39 RET И, собственно, он ведёт много куда, но вот, например, сюда: Code: ... 00D55CF8 \| MOV EDI, DWORD PTR SS:[EBP - 0x4] 00D55CFB \| MOV EAX, 0x0 00D55D00 \| CPUID 00D55D02 \| MOV DWORD PTR DS:[EDI], EBX 00D55D04 \| MOV DWORD PTR DS:[EDI + 0x4], EDX 00D55D07 \| MOV DWORD PTR DS:[EDI + 0x8], ECX 00D55D0A \| MOV EAX, 0x1 00D55D0F \| CPUID 00D55D11 \| MOV EBX, EAX
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 23 апреля 2020 12:50 · Личное сообщение · #23 Illuzion пишет: Попробовал много разных связанных с LLVM проектов, но так до конца и не понял про оптимизацию. Это бред .. зачем это делать? Проекты ради примеров хороши, но все проекты, что я видел сделаны через ж, т.к. автор слабо понимает, что он делает, 80 процентов кода можно выкинуть из проекта. Зачем брать ретдек ?!?! А потом сравнивать с другим выхлопом ?! Что за .... Illuzion пишет: Точнее, может он и делает то же самое (не уверен я), но выглядит как совсем две разные программы. Две причины на то, первая, ты НЕ развернул код на линейный, вторая причина - после ИР обработки формируются новые шаблоны, но код должен быть узнаваем и это НОРМАЛЬНО. Illuzion пишет: Оптимизация вообще неверно сделана. Всё там нормально сделано Ты хочешь наскоком получить сразу результат, что ты ожидаешь? Алгоритм такой: Линеаризация кода (Деление на блоки, построение графа полиморфа(позволяет разобрать любой уровень мутации на автоматике), построение и инициализация Датафлоу(можно через эмулятор - на ВМП работает на ура, а можно через отладчик, а можно с дамми в комбинациях, это требуется только для первичной инициализации, своего рода интерфейс для блоков, т.е. весь граф датафлоу не нужен)), далее оптимизация и сборка, здесь работает ещё один аддон, который парсит редкие стейтменты. Первый и третий пункт, ты должен сам закодить, этого нет нигде. Что делаешь ты, ты взял код без фронтенда, перегнал его через оптимизацию(средставми которые заточены под другие цели :s2, потом взял повторил это шаг другим инструментом и сравнил код .. WTF ?! Illuzion пишет: И ещё вопрос. При работе с шаблонами мы руководствуемся именно шаблонами инструкций? Что, собственно, просто. Т.е. : Illuzion пишет: Или же мы Taint Analysis всей трассы делаем? И то и то ... сорсы открыты, ты можешь всё посмотреть .. Это как раз из первого поста ELF_7719116 пишет: это как прочитать всю "Война и мир" Толстого и попытаться осознать всю глубину сюжета. Архитектуру нужно изучать, а потом уже судить Bronco "шо и требовалось доказать" Добавлено спустя 8 минут mak пишет: но все проекты, что я видел сделаны через ж, т.к. автор слабо понимает, что он делает Имеется ввиду проекты оптимизаторы, не декомпили .. ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube \| Сообщение посчитали полезным: ELF_7719116, plutos
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 23 апреля 2020 13:00 · Личное сообщение · #24 Illuzion пишет: В чём был бред там? Конкретней, пожалуйста. да так во многом, если не во всём ты бы лучше прислушивался, а не обижался Ок. Например в Применим блочный RC5 Это которого там в помине никогда не было, есть RC4. Далее вшитый в программу 256-битный ключ ты просто не увидел RC4Init в XML файле проекта это <HardwareConstant>, а принял развернутый ключ как за "вшитый" Далее, Используем шаблон "ABCDEF1234567890" тут я вообще в осадок выпал, т.к. это называется Base16ToBase256 Далее, контрольная сумма это младшие 16 бит от СRC32 (где данные это длина base256 hw без первого word) Далее, есть паблик скрипты. Сейчас этого не сделать, т.к. по-сути там нет цельного понятия хвид, он только для пользователся в таком виде представлен тут ты даже не понял, почему скрипты внезапно не работает. Ок, подскажу: потому что vcl функции теперь под ВМ, такие как LStrLen, LStrFromPChar, и т.д. по второму: Illuzion пишет: Пример: Ну и? В чем вопрос-то, что некоторые инструкции не транслируются (fpu reg, cpuid)? И это кстати тоже vm_exit и переход на реальный код, а ты выше спрашивал про совершенно другую вм, и оттуда приводил куски. Добавлено спустя 6 минут Illuzion пишет: SReg, а вообще, теоритически реально ли по изменениям какой-либо информации в регистрах/памяти сгенерировать код, который бы изменения такие же делал? Т.е. не упростить данное, а именно отследить все изменения и сделать новый код? Я, наверное, не понял тебя. Буду угадывать. Тебе за первый (первые) проходы необходимо сгенерить "свой" пром. код, чтобы у тебя было представление что он вообще делает. Потом как-то (я не знаю как, т.к. на этом и застрял в своё время) нужно выкинуть мусор из этого пром кода. А потом его попробовать компилировать. т.к. определить что мусор а что нет можно только на глаз втыкая в этот пром код, автоматику я не знаю как применить, а шаблонов там нет. По идее, это бы положить на плечи оптимизатора З.Ы. Естественно я щас пишу про RISC, а та вм что ты говоришь она для новичков, и лично мне совершенно не интересна... Добавлено спустя 15 минут mak пишет: после ИР обработки формируются новые шаблоны в той вм, про которую он говорил, там на ИР не применить шаблоны, так как она не шаблонная з.ы. А, вру. Разве что только на циклах. \| Сообщение посчитали полезным: v00doo
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 23 апреля 2020 13:21 · Личное сообщение · #25 SReg согласен, спасибо. SReg пишет: Ну и? В чем вопрос-то, что некоторые инструкции не транслируются (fpu reg, cpuid)? И это кстати тоже vm_exit и переход на реальный код, а ты выше спрашивал про совершенно другую вм, и оттуда приводил куски. Странно, тут видимо 2 ВМ? Это все один файл. Просто они не транслируют не только инструкции, а целые функции самого протектора, результаты которых мы можем менять.
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 23 апреля 2020 13:28 · Поправил: mak · Личное сообщение · #26 SReg пишет: в той вм, про которую он говорил, там на ИР не применить шаблоны, так как она не шаблонная з.ы. А, вру. Разве что только на циклах. Топик про ЛЛВМ, а не про разбор ВМ-ок, я имел ввиду шаблоны оптимизации для ЛЛВМ, чтобы разбирать ВМ на ЛЛВМ нужно сделать дополнительные движения в первом и третьем пункте, что я считаю слишком кучным, поэтому нужно выносить АПИ на внешний компонент и делать фреймворк, а не лепить всё в один пакет. ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube \| Сообщение посчитали полезным: SReg
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 23 апреля 2020 13:43 · Личное сообщение · #27 mak пишет: Топик про ЛЛВМ, а не про разбор ВМ-ок Вот тут да, согласен. Сливаюсь. Если бы еще на практике так было всё просто как в теории... Эх-х Illuzion пишет: Странно, тут видимо 2 ВМ? Это все один файл. Просто они не транслируют не только инструкции, а целые функции самого протектора, результаты которых мы можем менять. Да, две. И совершенно разные. Начни с простого, концепции ВМ например, многое станет понятно и вопросы отпадут. Транслятор это то, что транслирует например асм86 код в байткод, под другой процессор. А у тебя в файле интерпретатор, который и исполняет "транслированный" байт-код
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 23 апреля 2020 21:11 · Поправил: Bronco · Личное сообщение · #28 SReg пишет: Извини, но ты не мог бы по-русски писать, хоть немного? сорян, но что на уме то и на языке, иногда зайду поправлю. SReg пишет: Что такое "абстракция не глубокая" и "дисплейшен"? 1. в той портянке что выложили, и скармливали оптимайзеру, код читабельный без трассировки, поэтому и не глубоко. 2.disp ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Boostyq Ранг: 90.1 (постоянный), 89thx Активность: 0.29↗0.56 Статус: Участник	Создано: 23 апреля 2020 23:32 · Личное сообщение · #29 Illuzion пишет: Откуда они взялись, как он оптимизировал - мрак Это потому что у llvm оптимизации заточены под другое, они содержат и общие оптимизации в том числе, но для деобфускации подходят лишь косвенно. Взять проект который с горем пополам транслирует x86 в llvm ir, применяет стандартные проходы, и затем компилирует как C обратно в x86, и при этом надеятся получить чистый код очень опрометчиво. Больше толка будет если вы напишете анализатор примитивов, далее статическую трассировку этих примитивов в llvm-ir, и уже тогда прокрутите оптимизацию. Bronco пишет: оптимайзеру дисплейшен результ имидиата Ю вери лайк ту транскрипт инглиш вордс ин рашн, плиз стап зис шит. ----- В облачке многоточия \| Сообщение посчитали полезным: Illuzion
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 23 апреля 2020 23:55 · Поправил: ClockMan · Личное сообщение · #30 del ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 24 апреля 2020 00:23 · Личное сообщение · #31 Boostyq пишет: Ю вери лайк ту транскрипт инглиш вордс ин рашн, плиз стап зис шит. ест модус ин ребус..модераторус омет а лучше принимайте людей такими какие они есть. ----- Чтобы юзер в нэте не делал,его всё равно жалко..

<< . 1 . 2 .

Для печати