OLLVM 简介 OLLVM（Obfuscator-LLVM）是一个增强LLVM编译器安全性的项目。它为LLVM添加了多种代码混淆的技术，比如控制流平坦化、指令替换和伪造控制流等，用来提高生成的二进制文件的复杂性。这使得分析和理解软件逻辑更加困难，从而保护应用程序不易被恶意用户攻击和逆向。 OLLVM的移植过程指的是将OLLVM集成到现有的开发流程中，使得你可以使用OLLVM提供的混淆功能...

前言 OLLVM（Obfuscator-LLVM）是目前 Android 逆向分析中最常见的混淆手段之一。经过 OLLVM 混淆后的 SO 文件，其控制流被严重打乱，常量被加密，传统的通过搜索魔数常量来识别算法的方法往往失效。本文将讲解 OLLVM 混淆对算法识别的影响，以及针对 OLLVM_MD5、OLLVM_SHA1、OLLVM_Base64 的还原策略和实战技巧。 OLLVM 混淆...

前言 在上一篇文章中，我们讨论了 OLLVM 混淆下 MD5、SHA1、Base64 等算法的还原策略。本文将进一步深入，针对 AES 这类结构更复杂、轮函数更多的对称加密算法，讲解如何使用 Frida Stalker 在 OLLVM 混淆的代码中追踪和还原算法执行流程。AES 的还原难度远高于简单的哈希和编码算法，因此需要更精细的追踪策略。 Frida Stalker 工作机制回顾 ...

关键技术基础概念 FRIDA Frida是一个动态代码插桩工具，主要用于执行动态分析。它允许你在程序运行时注入自己的代码或监控执行流程。使用该工具可以实现对应用程序的Hook，监控和修改函数调用和消息传递。 适用平台：支持Windows、macOS、Linux、iOS和Android等多个平台。 使用场景：逆向工程、安全评估、开发与调试等。 核心组件：包括一个核心库以及多个语言绑定（如...

Dalvik 虚拟机简介 在深入脱壳技术之前，我们需要先理解 Dalvik 虚拟机的基本架构，因为所有 Dalvik 时代的脱壳方案都建立在这些底层机制之上。 DEX 文件格式 DEX（Dalvik Executable）是 Android 应用程序的可执行文件格式。一个 APK 包中通常包含一个 classes.dex 文件，它是所有 Java/Kotlin 代码经过编译后的产物。DE...