菜鸡的花语就是菜就多练

☝️🤓

🙌🙌🙌🙌

感觉自己是啥都了解一点但是确实啥也不会

什么是花指令?

花指令在我的理解就是垃圾指令，在不影响真实代码中加入一些垃圾代码从而影响反汇编的正常运行，主要是用来影响逆向分析人员的的静态分析的。

简单的花指令

花指令分为两种

可执行花指令
不可执行花指令

可执行花指令

顾名思义就是可以执行的花指令，在程序运行时执行，并且不会改变寄存器的值，目的增加静态分析的难度。

不可执行花指令

不可执行的花指令通常情况下会反编译的时候报错，这种情况时插入了一些不完整的汇编指令，导致反编译失败。

花指令必须满足的两个特征

垃圾数据必须是合法指令的一部分
程序运行时，花指令必须位于实际不可执行的代码路径

原理

反汇编算法可以分为两类：

递归下降算法、

从程序入口开始进行反汇编，然后对整个代码段进行扫描，反汇编扫描过程中每个遇到的每条指令。

缺点：在芬诺伊曼系结构下。无法区分数据和代码，从而导致代码段嵌入的数据解释为指令的操作码，从而导致反编译失败。

线性扫描算法

强调控制流的概念，控制流根据一条指令是否被另一条指令应用决定是否对它进行反汇编，遇到非控制流的指令时顺序进行反汇编，而遇到控制流的转移的指令从转移地址开始进行反汇编，通过构造必然条件或者互补条件，使反汇编失败。

花指令的构造

永恒跳转

最简单的jump指令

1
2
3

jmp LABEL1
  db junk_code;
LABEL1:

这种jump单次跳转，只能骗过线性扫描算法，会被ida识别(递归下降)

多次跳转

__asm {
        jmp LABEL1;
        _emit 68h;
    LABEL1:
        jmp LABEL2;
        _emit 0CDh;
        _emit 20h;
    LABEL2:
        jmp LABEL3;
        _emit 0E8h;
    LABEL3:
    }

这种和单次一样也会被识别，可以这样改写

__asm {
     _emit 0xE8
     _emit 0xFF
     //_emit 立即数：代表在这个位置插入一个数据，这里插入的是0xe8
 }

其他构造类型

jnz和jz的互补跳转

 __asm {
        jz Label;
		jnz Label;
		_emit 0xC7;
Label:

跳转指令构造花指令

__asm {
        push ebx;
        xor ebx, ebx;
        test ebx, ebx;
        jnz LABEL7;
        jz    LABEL8;
    LABEL7:
        _emit 0xC7;
    LABEL8:
        pop ebx;
    }

call&ret构造花指令

__asm {
         call LABEL9;
         _emit 0x83;
     LABEL9:
         add dword ptr ss : [esp] , 8;
         ret;
         __emit 0xF3;
     }

解题方法

没有什么特别的好方法，就是区分垃圾数据就行。然后就nop掉就行

还有就是动调，我的理解就是找到最后的判断结果那下断点，然后进行F9即可。

例题

复现一下咯！

donntyousee

2025-全国大学生软件创新大赛软件系统安全赛

怎么说呢？

那道题发现是道ELF文件先常规看一下架构

bbq@ubuntu:~$ checksec chall
[*] '/home/bbq/chall'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)
bbq@ubuntu:~

amd64，ida打开

打开后发现时看见有一个ret指令，把他nop掉之后

可以看见mian函数

这里看一下这两个函数

这里不直接看反汇编建议，直接看流程图，这里调用了r8寄存器里的地址，我们跟踪过去看看

但是遇到同样的ret指令，我们把它去掉就行了

然后我们跟踪一下这个函数

看这个函数和上面的rc4也很明显，找到密钥和密文即可，最下面的sub_405CAA函数是主要逻辑

看见密文了

简单提取一下

data=[0x25,0xCD,0x54,0xAF,0x51,0x1C,0x58,0xD3,0xA8,0x4B,0x4F,0x56,0xEC,0x83,0x5D,0xD4,0xF6,0x47,0x4A,0x6F,0xE0,0x73,0xB0,0xA5,0xA8,0xC3,0x17,0x81,0x5E,0x2B,0xF4,0xF6, 0x71,0xEA, 0x2F, 0xFF, 0xA8, 0x63, 0x99, 0x57]