基于Capstone和流敏感混合执行的自动化反混淆技术
作者:
作者单位:

作者简介:

鲁辉(1981-),男,博士,教授,主要研究领域为网络攻防对抗,智能化漏洞挖掘,移动端脱壳,反混淆技术;郭润生(1997-),男,硕士生,主要研究领域为网络攻防对抗,移动端脱壳,反混淆技术;金成杰(1994-),男,硕士生,主要研究领域为网络攻防对抗,移动端脱壳,反混淆技术;何陆潇涵(1995-),女,硕士生,主要研究领域为网络攻防对抗,移动端脱壳,反混淆技术;王兴伟(1968-),男,博士,教授,博士生导师,CCF杰出会员,主要研究领域为未来互联网,云计算和网络安全;田志宏(1978-),男,博士,教授,博士生导师,CCF杰出会员,主要研究领域为网络攻防对抗,APT检测与溯源,工控安全

通讯作者:

田志宏,E-mail:tianzhihong@gzhu.edu.cn

中图分类号:

TP311

基金项目:

国家自然科学基金(61972108,U20B2046);国家重点研发计划(2021YFB2012402);广东省重点研发计划(2020B0101120002)


Automated Anti-obfuscation Technology Based on Capstone and Flow-sensitive Concolic Execution
Author:
Affiliation:

Fund Project:

  • 摘要
  • |
  • 图/表
  • |
  • 访问统计
  • |
  • 参考文献
  • |
  • 相似文献
  • |
  • 引证文献
  • |
  • 资源附件
  • |
  • 文章评论
    摘要:

    经过多年的技术发展和攻防对抗, Android平台应用加固技术已较为成熟, 防护粒度逐步从通用的DEX动态修改发展为高度定制化的Native层混淆机制, 通过不断提高逆向分析的难度和工作量, 增强客户端代码防护能力. 针对近期崛起的OLLVM混淆加固技术, 提出一种基于Capstone和流敏感混合执行的自动化反混淆决方案(CiANa). CiANa采用Capstone引擎分析基本块及其指令结构, 识别散落在程序反汇编控制流程图中的真实块, 并基于流敏感的混合执行确定各真实块间的执行顺序, 最后对真实块汇编指令进行指令修复得到反混淆后的可执行二进制文件. 实验对比结果表明, CiANa可有效恢复ARM/ARM64架构下经OLLVM混淆的Android Native文件. CiANa是目前为止首个在ARM/ARM64架构中, 支持对全版本(Debug/Realse版本) OLLVM进行有效反混淆并生成可执行文件的框架, 为逆向分析提供了必要的辅助支撑.

    Abstract:

    After years of technical development and attack-defense confrontation, the reinforcement technology for Android applications has matured to the extent that protection granularity has gradually developed from general dynamic Dalvik executable (DEX) modification to a highly customized Native-layer obfuscation mechanism. Client code protection is strengthened by continuously increasing reverse analysis difficulty and workload. For the newly emerged reinforcement technology of obfuscator low level virtual machine (OLLVM) obfuscation, this study proposes an automatic anti-obfuscation solution CiANa based on Capstone and flow-sensitive concolic execution. The Capstone engine is used to analyze the basic block and its instruction structure, thereby identifying the real blocks scattered in the control flow graph of program disassembly. Then, the execution sequence of the real blocks is determined by leveraging flow-sensitive concolic execution. Finally, the real block assembly instructions are repaired to obtain anti-obfuscated executable binary files. The comparative experimental results show that CiANa can recover the Android Native files under OLLVM obfuscation in the ARM/ARM64 architecture. As the first framework that offers effective anti-obfuscation and generates executable files for all versions (Debug/Release version) of OLLVM in the ARM/ARM64 architecture, CiANa provides necessary auxiliary support for reverse analysis.

    参考文献
    相似文献
    引证文献
引用本文

鲁辉,郭润生,金成杰,何陆潇涵,王兴伟,田志宏.基于Capstone和流敏感混合执行的自动化反混淆技术.软件学报,2023,34(8):3745-3756

复制
分享
文章指标
  • 点击次数:
  • 下载次数:
  • HTML阅读次数:
  • 引用次数:
历史
  • 收稿日期:2021-06-23
  • 最后修改日期:2021-09-28
  • 录用日期:
  • 在线发布日期: 2023-02-22
  • 出版日期: 2023-08-06
文章二维码
您是第位访问者
版权所有:中国科学院软件研究所 京ICP备05046678号-3
地址:北京市海淀区中关村南四街4号,邮政编码:100190
电话:010-62562563 传真:010-62562533 Email:jos@iscas.ac.cn
技术支持:北京勤云科技发展有限公司

京公网安备 11040202500063号