Armariris
源码
指令替换
-mllvm -sub 对比
可以看到多出了种子数 84654FC2h, 先add 再 sub 结果不变
字符串加解密
-mllvm -sobf
混淆后的
多出了decode函数在.init_array节
__int64 datadiv_decode12794142082554442724()
{__int64 result; // raxunsigned int v2; // [rsp+8h] [rbp-4h]v2 = 0;do{aEEE[v2] ^= 1u; // 解密并修改字符result = v2 - 24; // result结果不重要}while ( v2++ < 0x18 );return result;
}
对应的修复脚本
import idcdef solve_for_brother():# 1. 你的地址target_addr = 0x404030 length = 25xor_key = 1print(f"[*] Starting decryption at {hex(target_addr)}...")# 2. 核心解密循环 (这部分绝对没问题)for i in range(length):curr_ea = target_addr + ienc_byte = idc.get_wide_byte(curr_ea)dec_byte = enc_byte ^ xor_key# 修改 IDA 数据库idc.patch_byte(curr_ea, dec_byte)# 3. 强制刷新 IDA 显示格式idc.del_items(target_addr, 0, length)idc.create_strlit(target_addr, target_addr + length)print("[+] Done! 已经修补完成。")if __name__ == "__main__":solve_for_brother()