Angr Symbolic Execution Practice – Tackling OLLVM Control Flow Flattening
💡
原文英文，约1900词，阅读约需7分钟。
📝
内容提要
本文介绍了控制流平坦化（CFF）及其反混淆技术，重点讲解了如何利用angr库和D810插件进行CFF的反混淆。通过示例代码和步骤，展示了处理CFF保护程序的方法，并强调学习D810源码的重要性，以应对不同的CFF实现。
🎯
关键要点
- 控制流平坦化（CFF）将正常控制流转换为状态变量驱动，旨在对抗静态分析。
- 本文以学习angr库的进阶用法为目的，介绍CFF的反混淆技术。
- 提供了hello.c的示例代码，展示了如何使用CFF进行编译。
- hello_fla是经过CFF保护的程序，反汇编后可见其控制流结构。
- hello_fla_patch.py是对hello_fla的反混淆代码，演示了如何处理CFF保护。
- D810是一个IDAPython插件，利用Hex-Rays微码技术进行反控制流平坦化。
- 安装D810插件需要将相关文件复制到IDA的插件目录，并安装z3-solver模块。
- 使用D810插件时，可以通过GUI选择反CFF规则并生成日志。
- 建议学习D810源码，以应对不同的CFF实现，尤其是魔改版本。
- 控制流平坦化与反控制流平坦化是一个持续的猫鼠游戏，需不断更新技术以应对新挑战。
❓
延伸问答
什么是控制流平坦化（CFF）？
控制流平坦化（CFF）是一种将正常控制流转换为状态变量驱动的技术，旨在对抗静态分析。
如何使用angr库进行CFF的反混淆？
可以通过学习angr库的进阶用法，结合示例代码和步骤，使用D810插件进行CFF的反混淆。
D810插件的安装步骤是什么？
安装D810插件需要将相关文件复制到IDA的插件目录，并安装z3-solver模块。
D810插件如何使用？
使用D810插件时，可以通过GUI选择反CFF规则并生成日志，默认情况下会生成日志文件。
为什么建议学习D810的源码？
学习D810的源码有助于应对不同的CFF实现，尤其是魔改版本，提升反混淆技术的能力。
控制流平坦化与反控制流平坦化之间的关系是什么？
控制流平坦化与反控制流平坦化是一个持续的猫鼠游戏，技术需要不断更新以应对新挑战。
➡️
