基于符号执行的底层虚拟机混淆器反混淆框架

摘要 针对Miasm反混淆框架反混淆后的结果是一张图片，无法反编译恢复程序源码的问题，在对底层虚拟机混淆器（OLLVM）混淆策略和Miasm反混淆思路进行深入学习研究后，提出并实现了一种基于符号执行的OLLVM通用型自动化反混淆框架。首先，利用基本块识别算法找到混淆程序中有用的基本块和无用块；其次，采用符号执行技术确定各个有用块之间的拓扑关系；然后，直接对基本块汇编代码进行指令修复；最后，得到一个反混淆后的可执行文件。实验结果表明，该框架在保证尽量少的反混淆用时前提下，反混淆后的程序与未混淆源程序的代码相似度为96.7%，能非常好地实现x86架构下C/C++文件的OLLVM反混淆