记一次解密ollvm字符串

好，我们先来简单了解一下编译的过程，再讲一下 LLVM 怎么解决编译中的问题。前端（Frontend）：就像你写的文章，它会先被检查有没有语法错误（就像老师检查你的作文有没有拼写错误、句子不通顺），然后会变成一种更简单的语言，这种语言就是中间代码（好比是翻译成了一种大家都能懂的语言，方便后面的步骤处理）。优化（Optimizer）：这一步就像是你检查自己写的文章，看看有没有可以删掉的部分，或者有没有能合并的句子。目标是让文章更加简洁明了，省时间。就像程序代码中删掉没用的部分，合并冗余的代码，提升运行速度。后

简介 OLLVM是瑞士西北应用科技大学安全实验室于2010年6月份发起的一个项目,该项目旨在提供一套开源的针对LLVM的代码混淆工具,以增加对逆向工程的难度。github上地址是https://github.com/obfuscator-llvm/obfuscator，只不过仅更新到llvm的4.0，2017年开始就没在更新。最新的9.0.1等版本均是后来大神修改出来的分支。https://git...

某apk so层ollvm字符串混淆 本次逆向分析用到的工具：adb、ida、010Editor、ddms。 这次主要对某右的libnet_crypto.so分析,主要工作是分析ollvm混淆的字符串被处理加密。 先检测一下设备是否正常 adb devices 然后解压apk文件，提取出lib目录下的libnet_crypto.so文件 armeabi-v7a对应的是32位的ARM设备，调试使用IDA，不要用IDA64 so文件挺大的，编译需要等待一会，看一下字符串，基本都是混淆加密的 接下来，分

手动还原 应用运行,dump so unicron 执行 uEmu

本文详细解析了OLLVM字符串加密机制及其逆向工程解密方法，涵盖从IDA静态分析到Frida动态补丁的全流程。通过实战案例演示如何识别加密特征、编写Hook脚本以及开发自动化解密工具，帮助逆向工程师有效应对OLLVM字符串保护方案，提升逆向分析效率。

本文深入探讨了使用Frida动态解密OLLVM字符串混淆的三种典型变体：特征函数.datadiv_decode、.init_array段解密以及JNI_OnLoad运行时解密。通过实战案例，详细讲解了如何利用Frida进行动态Hook、内存读取和Inline Hook，并提供了通用化的脚本框架，帮助逆向分析人员高效应对不同强度的字符串混淆保护。

当我们如果没有对字符串进行加密，使用 IDA 反汇编一下 so 可以看到 C++ 代码中的字符串就直接暴露了。编译完成后，通过 IDA 打开 so 可以看到字符串常量 “cyrus” 已经被替换成 &unk_6DE20。processConstantStringUse() 找到所有使用加密字符串的地方，替换为解密后的变量。只要在定义的地方把字符串加密，引用时候再解密就可以实现字符串的自动加解密了。为字符串变量创建一个初始化函数，用于在运行时执行解密操作。通过生成 ir 文件可以看到字符串的定义都是 @“?

本文为看雪论优秀文章看雪论坛作者ID：misskings题目出自3W班9月的题目用ollvm9.0实现字符串简单加密。题目主要是为了能熟练ollvm中如何进行一个简单的加密，以及c++部分怎么生成对应的IR指令来达到像c++函数效果。所以主要我们的思路可以切换成：1、首先确定加密的核心逻辑并用C++实现2、根据C++的算法。生成一份IR指令来为我们提供参考3、ollvm里面如何用C++生...

本文深入解析了使用Frida动态追踪OLLVM字符串加密的实战技巧。针对OLLVM字符串混淆的三种典型模式，文章提供了从Hook .init_array到JNI_OnLoad，再到精准Inline Hook解密指令的完整解决方案，帮助逆向分析人员在运行时内存中成功提取解密后的明文字符串，有效对抗代码混淆。

OLLVM混淆函数名：std::string_ 查找JNI_OnLoad 加载Android ARM库： 修改类型： 双击查看v6 = off_33D60里的off_33D60： print_dex(0x37070)是sign1。 查看交叉引用： 是std::string_::形式的函数，改了函数的名字，这是OLLVM的另一种加密函数，在.init_array段里面： OLLVM字符串使用前混淆：运行时解密 Ctrl+S打开.init_array： 查看sub_6CEC函数： 都赋值

破解CrackMe初体验

LLVM的IR中字符串的形式:字符串常量和字符数组都是ConstantDataSequential(CDS)所有的字符串字面量, 都是i8/i16数组,匿名的字符串常量为@.str(.n) = private unnamed_addr constant具名的字符数组为@name = global 或 @name = internal constant空的字符串字面量为private unnamed...

frida辅助分析ollvm字符串加密 近期逆向任务繁重且艰巨，因此把工作期间得学习心得做下笔记还是十分得有必要得。防止后期遗忘。 文章目录frida辅助分析ollvm字符串加密一.Ollvm混淆简单版分析 - datadiv1. 如何辨别OLLVM字符串混淆?2. 初步分析3. 编写通用方法打印字符串二. Ollvm字符串混淆 - 找不到datadiv 一.Ollvm混淆简单版分析 - datadiv 使用2.0.0apk案例 1. 如何辨别OLLVM字符串混淆? 把so文件拖入IDA. 到导出表

OLLVM 是基于 LLVM 编译器基础设施的一个开源混淆工具，它通过对程序的控制流、函数调用和数据结构等进行混淆，增加代码的复杂性和理解难度，从而保护软件知识产权。其混淆手段主要包括控制流平坦化、指令替换和虚假控制流等。这些混淆技术使得应用在被反编译后，其代码逻辑变得难以理解，同时也给脱壳操作带来了更高的难度。

本文详细介绍了如何结合Frida动态调试与静态分析技术，破解OLLVM字符串混淆。通过识别.datadiv_decode函数等特征，定位加密数据与解密函数，并利用Frida进行Hook和内存Dump，最终成功还原出被加密的明文字符串。文章提供了完整的实战流程，包括基础Hook、Inline Hook以及处理复杂加密模式的高级技巧，为逆向分析人员提供了应对OLLVM字符串加密的有效方法。

控制流平坦化和运行时解密是现代二进制保护的核心技术，前者通过状态机打乱执行逻辑，后者按需解密指令以规避静态分析。其技术价值在于显著提升逆向门槛与反调试鲁棒性，广泛应用于金融终端、IoT固件及版权敏感型桌面软件中。实际工程中，二者常深度耦合形成混淆闭环，导致传统脱壳失效。本文聚焦Windows平台下VMP运行时解密器的行为特征与OLLVM状态转移图的自动化重建，结合Windbg内存断点捕获、IDA Python脚本辅助分析等手段，提供一条可验证、可回溯的动态破解链路，适用于具备PE结构与调试基础的中级逆向工程

在 Android 应用的 Native so 中，C/C++ 字符串是最容易泄露的弱点。只要用 IDA、Ghidra 等逆向工具打开 so，明文字符串往往一览无余，核心逻辑、协议关键字、敏感信息都可能直接暴露。这意味着，即使你对函数做了混淆，对控制流做了平坦化，只要字符串没保护，就等于把应用的秘密写在了明面上。对字符串加密。而基于 LLVM 的OLLVM，恰好提供了一个可扩展的平台，我们可以在编译过程中自动收集、加密、替换字符串，让 so 中不再出现明文常量。

本文探讨了利用Frida框架动态分析OLLVM混淆Android应用的方法。针对OLLVM的三种主要混淆技术（字符串加密、控制流平坦化、指令替换），分别提出有效解决方案：通过Hook关键函数获取解密字符串、追踪输入输出分析平坦化代码、直接监控寄存器获取替换指令结果。研究表明，结合Frida的动态分析能力可有效突破静态分析局限，为逆向工程提供新思路。该方法避免了复杂数学推导，直接获取运行时关键数据，显著提升了分析效率。