强网杯赛题解析 | unicorn_like_a_pro

2.3 设置回调

Unicorn 支持很多种回调类型，当 Unicorn 运行的代码满足特定的条件时，将触发对应的回调。

在回调中可以对虚拟机中环境上下文操作，类似调试器的调试回调。

本题借助 Unicorn 指令回调，实现指令即时解密，执行后重新加密，打乱控制流。

奇数下标数据为key，偶数为基本块字节的长度。

用 python 实现基本块解密函数：

‍

ControlFlow1 回调，执行到无效指令会被调用，用于切换程序中的控制流。

该题用 3f 0f作为基本块的结尾（无效指令）触发 ControlFlow1 回调，切换控制流。

ControlFlow1 回调函数根据结尾rip与当前基本块的key计算另外一个 key，用于索引当前基本块的后继基本块的信息。

注意 v9 保存的是上一个基本块的 key，此处做的 += 运算，即上一个基本块的 key 与 下一个基本块的 key 有关联。

由此可见，基本块的 key 与控制流的路径有关！写解密脚本的时候要考虑路径问题。

另外，当虚拟机中程序运行到 0x10A3 时将调整控制流并更改 key：

解密后的基本块，很多都是以读取 fs 寄存器并判断结尾。

r15 的值来源于 fs:xxx ，最后再与 fs:xxx 内存的值比较，很明显最后的 zf = 1。

其实并不是，这道题对 fs 寄存器指向的那段内存做了内存读回调，回调如下：

每次读取 fs 指向的内存，该内存的值都会被改写。所以 mov 与 cmp 对 fs 内存访问出的结果是不同的，自然 zf = 0，走 zf = 0 的分支。

在控制流重建的时候，需要考虑以读取 fs 内存结尾的基本块，将其看作是无条件跳转，而不是 jz/jnz。

重建思路：

以 bfs 遍历顺序，从入口基本块开始解密，解密后再查询分支信息表获取后继基本块的相对偏移与key，最后将新基本块的信息加入到队列，等待分析。遍历时注意维护路径上的 key 累计值。

所有基本块解密完成后，可以得到每个基本块的后继基本块的相对偏移。

要在基本块的结尾插入跳转指令，这将改变代码布局，使得原始相对偏移不可用，所以我采取重编译来解决这个问题，重编译之前将原始基本块的入口地址作为基本的符号名，基本块结尾用 jmp/jz 等指令连接。

code.bin 文件时 dump 出来的原始 code 数据，输出 1.bin 可以直接在 ida 中反编译。