Android NDK 使用llvm 混淆

空道

在逆向分析中 碰到 NDK被 llvm 混淆的软件越来越多了, 所以自己搭建环境编译一些小项目 分析分析
环境
Ubuntu 14.04   64bit

先将  ndkllvm.tar 解压到 /opt 目录中 命令如下
$ sudo tar -xv -f ndkllvm.tar -C /opt
然后 配置环境变量
$ vim ~/.profile  //在文件末尾添加
export LLVM=/opt/Android-ndk-r10b
加载环境变量
$ source ~/.profile

然后可进入 llvm_project/hello 目录 通过
$ $LLVM/ndk-build                //进行编译项目了

游客，如果您要查看本帖隐藏内容请回复

Dxer

沙发是我的，我来支持空道版主了。有人坐我大腿上么{:soso_e120:}

0xcb

llvm还可以混淆代码吗，研究下， 资源好大呀，其实藤椅坐着也是不错的，{:soso_e141:}

yfw123

多谢分享。学习下。

飘云

@空道。。放个bin上来看看，混淆成啥样了~

0xcb

飘云 发表于 2015-5-4 12:26
@空道。。放个bin上来看看，混淆成啥样了~

1. #include <stdio.h>
   
2. int main(int argc, char **args)
   
3. {
   
4.         int i = 0;
   
5.         for(i = 0; i < 10; i++)
   
6.         {
   
7.                 if(i % 2)
   
8.                 {
   
9.                         printf("ou:%d\n", i);
   
10.                 }
    
11.                 else
    
12.                 {
    
13.                         printf("ji:%d\n", i);
    
14.                 }
    
15.         }
    
16.         printf("hello\n");
    
17.         return 0;
    
18. }
    

复制代码

ida F5的效果：

1. 
   
2. int __fastcall main()
   
3. {
   
4.   signed int v0; // r0@1
   
5.   signed int v1; // r4@1
   
6.   const char *v2; // r0@7
   
7.   int v3; // r0@39
   
8.   char v5; // [sp+7h] [bp-21h]@0
   
9. 
   
10.   v0 = 428080492;
    
11.   v1 = 0;
    
12.   do
    
13.   {
    
14.     while ( 1 )
    
15.     {
    
16.       while ( 1 )
    
17.       {
    
18.         while ( 1 )
    
19.         {
    
20.           while ( 1 )
    
21.           {
    
22.             while ( 1 )
    
23.             {
    
24.               while ( 1 )
    
25.               {
    
26.                 while ( 1 )
    
27.                 {
    
28.                   while ( 1 )
    
29.                   {
    
30.                     while ( 1 )
    
31.                     {
    
32.                       while ( 1 )
    
33.                       {
    
34.                         while ( 1 )
    
35.                         {
    
36.                           while ( 1 )
    
37.                           {
    
38.                             while ( v0 <= -902473546 )
    
39.                             {
    
40.                               if ( v0 == -1066363283 )
    
41.                                 v0 = 1905947092;
    
42.                             }
    
43.                             if ( v0 > -593865293 )
    
44.                               break;
    
45.                             if ( v0 == -902473545 )
    
46.                             {
    
47.                               v2 = "ji:%d\n";
    
48.                               goto LABEL_8;
    
49.                             }
    
50.                           }
    
51.                           if ( v0 > -480917249 )
    
52.                             break;
    
53.                           if ( v0 == -593865292 )
    
54.                             v0 = -1066363283;
    
55.                         }
    
56.                         if ( v0 > -429563627 )
    
57.                           break;
    
58.                         if ( v0 == -480917248 )
    
59.                           v0 = 1980625991;
    
60.                       }
    
61.                       if ( v0 > -288824782 )
    
62.                         break;
    
63.                       if ( v0 == -429563626 )
    
64.                       {
    
65.                         puts("hello");
    
66.                         v0 = 1980625991;
    
67.                       }
    
68.                     }
    
69.                     if ( v0 > 141628117 )
    
70.                       break;
    
71.                     if ( v0 == -288824781 )
    
72.                       v0 = -593865292;
    
73.                   }
    
74.                   if ( v0 > 428080491 )
    
75.                     break;
    
76.                   if ( v0 == 141628118 )
    
77.                     v0 = 893803981;
    
78.                 }
    
79.                 if ( v0 > 778582159 )
    
80.                   break;
    
81.                 if ( v0 == 428080492 )
    
82.                 {
    
83.                   v0 = -480917248;
    
84.                   if ( v1 < 10 )
    
85.                     v0 = 778582160;
    
86.                 }
    
87.               }
    
88.               if ( v0 > 893803980 )
    
89.                 break;
    
90.               if ( v0 == 778582160 )
    
91.                 v0 = 893803981;
    
92.             }
    
93.             if ( v0 > 1124738897 )
    
94.               break;
    
95.             if ( v0 == 893803981 )
    
96.             {
    
97.               v3 = (v1 ^ 0xFFFFFFFE) & v1;
    
98.               if ( (v1 ^ 0xFFFFFFFE) & v1 )
    
99.                 LOBYTE(v3) = 1;
    
100.               v5 = v3;
     
101.               v0 = 1769065312;
     
102.             }
     
103.           }
     
104.           if ( v0 > 1285514747 )
     
105.             break;
     
106.           if ( v0 == 1124738898 )
     
107.           {
     
108.             v0 = 2110947756;
     
109.             ++v1;
     
110.           }
     
111.         }
     
112.         if ( v0 > 1547117937 )
     
113.           break;
     
114.         if ( v0 == 1285514748 )
     
115.           v0 = -593865292;
     
116.       }
     
117.       if ( v0 <= 1705860464 )
     
118.         break;
     
119.       if ( v0 > 1769065311 )
     
120.       {
     
121.         if ( v0 > 1905947091 )
     
122.         {
     
123.           if ( v0 > 1980625990 )
     
124.           {
     
125.             switch ( v0 )
     
126.             {
     
127.               case 1980625991:
     
128.                 puts("hello");
     
129.                 v0 = 1547117938;
     
130.                 break;
     
131.               case 2110947756:
     
132.                 v0 = 428080492;
     
133.                 break;
     
134.               case 2133513828:
     
135.                 v2 = "ou:%d\n";
     
136. LABEL_8:
     
137.                 printf(v2, v1);
     
138.                 v0 = -288824781;
     
139.                 break;
     
140.             }
     
141.           }
     
142.           else if ( v0 == 1905947092 )
     
143.           {
     
144.             v0 = 1124738898;
     
145.           }
     
146.         }
     
147.         else if ( v0 == 1769065312 )
     
148.         {
     
149.           v0 = -902473545;
     
150.           if ( v5 )
     
151.             v0 = 2133513828;
     
152.         }
     
153.       }
     
154.       else if ( v0 == 1705860465 )
     
155.       {
     
156.         v0 = 1124738898;
     
157.         ++v1;
     
158.       }
     
159.     }
     
160.   }
     
161.   while ( v0 != 1547117938 );
     
162.   return 0;
     
163. }
     

复制代码

是复杂的多了，

F8LEFT

连android都有llvm混淆了。。。不带这么玩的

King，

多出了一些无用东西，不算太麻烦

gujin162

手机上的东西，混淆这么多，不怕运行不起来？

white1y

估计混淆之后 程序不会运行缓慢 就好，