用一个demo来聊聊动态trace
这个仓库能做什么？
帮助理解动态trace的思想。仓库内的demo，可操作，可实践。
动态trace核心思想：
动态记录一个函数内每一条指令的执行中产生的信息，并导入IDA，用来弥补IDA等静态分析工具的不足。
反编译看一下
-
先clone仓库，把hellolldb.app拖到IDA里分析一下。这个hellolldb.app是我自己造的demo。demo只有按钮，点击按钮之后会触发回调onBtnClick,回调里会弹个窗，并打印一行log。我手动对demo加了一些常见的混淆。下面的截图是混淆后的代码。自己逆一下自己的demo，IDA7.0 :
- Function Window里看不到函数名
- 有DCQ
- 有br切开整个函数的body
- 整个函数(开头结尾)没被识别，无法F5
开始动态执行：
把helllolldb.app拖到MonkeyDev里，并且在onBtnClick下个断点。点击按钮，断点断住。
把lldb-trace里的导出json的路径改成你自己的:
26 filename = "/Users/bliss_ddo/Desktop/%d.json"%(time.time())
输入script 进入交互式脚本执行环境:
(lldb)script
在交互式环境导入lldb-trace.py
exec(open('/Users/bliss_ddo/Desktop/lldb2ida/lldb-trace.py').read())
执行脚本里的函数:
Tracer().tracehere(True)
回车，执行，得到一份运行时的json。把json改个名，叫1.json
这个脚本做了什么？
- 记录函数的开头和结尾(后续在IDA里修复函数)
- 对每一行指令打个断点，并注册断点hit的回调。
- 记录每一行指令的内存地址，值
- 对于br指令，记录读取br后寄存器的值，用来修复成b指令
- 记录断点hit的count，后续修复用。
- 找到当前断点的上级，也就是lr寄存器的值，在这个地方断点并注册回调，用来标记trace结束。trace结束时，把上述的运行记录导出到一份json里。
看一下json里的内容
用json-formatter.py来看一下这个json里的内容，终端运行
python /Users/bliss_ddo/Desktop/lldb2ida/json-formatter.py
第一列，index，
第二列，激发次数
第三列，带aslr的地址
第四列，不带aslr的地址
第五列，汇编助记词和操作数
第六列，内存里的值
第n列，任何逆向trace的值，脚本自己扩展
把这个JSON搞到IDA里
打开IDA,在下方的交互式环境里输入
exec(open('/Users/bliss_ddo/Desktop/lldb2ida/ida-fix.py').read())
脚本做了什么事？看脚本的最后几行。
fixer = Fixer("/Users/bliss_ddo/Desktop/1.json") //读取动态trace的json
fixer.processJSON() //解析一下
fixer.fix_function_range() // 调用idc的函数，重新确定函数开始和结尾
fixer.fix_br() // 判断br的寄存器值是否落在函数内，如果在函数内，将其修复成b (reg-pc) b的计算规则见下文
fixer.fix_unknow_as_nop() // 讲DCQ里无法被mark as code的变成nop
# fixer.fix_unexec_as_nop() // 这句比较危险，把没被执行的代码变成nop，可以去掉虚假控制流，当然也有可能误杀。在逆一些签名加密之类的比较管用。这里就认为动态执行的路径，就是最最最正确的路径
# fixer.restore() //出错的时候的时候把IDA恢复回去。。。
记得把patch应用到原来的二进制里
IDA菜单-->Edit-->Patch program --> Apply.......
再次再MonkeyDev里运行一下修复后的二进制，ok能用。
后记
也就仅仅是用手头工具做了个demo。
这个过程中调研了很多的工具，也涨了很多姿势，工具没有十分趁手的，就自己做了个小demo。
道阻且长，一起加油。
5 Jan 26, 2022
58 Dec 18, 2022
189 Dec 24, 2022
148 Dec 9, 2022
38 Dec 3, 2022
14 Jul 15, 2022
11 Apr 11, 2022
301 Dec 28, 2022
29 Dec 11, 2022
3 May 30, 2022
8 Dec 3, 2022
1 Nov 24, 2021
1 Dec 30, 2021
2 Oct 29, 2022
1 Jun 29, 2022
16 Nov 9, 2022
48 Dec 3, 2022
25 Oct 23, 2022
57 Dec 18, 2022
24 Nov 18, 2022
3 Feb 3, 2022
97 Nov 2, 2022
30 Dec 6, 2022
9 Sep 21, 2022
47 Oct 22, 2022
20 Dec 27, 2022
1 Nov 5, 2021
10 Oct 6, 2022
83 Nov 26, 2022