反編譯器C-Decompiler關(guān)鍵技術(shù)的研究和實(shí)現(xiàn).pdf

1、作為逆向領(lǐng)域的關(guān)鍵部分，反編譯技術(shù)在軟件安全和維護(hù)方面扮演著非常重要的角色。反編譯技術(shù)起源于上世紀(jì)60年代，只比編譯技術(shù)晚10年。但反編譯技術(shù)的成熟度遠(yuǎn)不如編譯技術(shù)。反編譯領(lǐng)域存在很多亟需解決的難點(diǎn)。數(shù)據(jù)流分析是其中最為困難的一點(diǎn)。在過去50年的發(fā)展過程中，出現(xiàn)了不少實(shí)驗(yàn)性的反編譯器。其中以Dcc,Boomerang和IDA Pro的反編譯插件Hex_rays最為著名。然而這些反編譯器都存在著各種各樣的缺陷。例如，Dcc只能識(shí)別最簡單的

2、數(shù)據(jù)類型，是這三個(gè)反編譯器中反編譯功能最弱的一個(gè)；Boomerang則無法識(shí)別復(fù)雜的數(shù)據(jù)結(jié)構(gòu)，如C++的類和多維數(shù)組；Hex_rays只能產(chǎn)生可讀性較低的C偽代碼，同樣無法識(shí)別復(fù)雜的數(shù)據(jù)結(jié)構(gòu)。本文在前人的基礎(chǔ)上，提出了3項(xiàng)新技術(shù)用于反編譯領(lǐng)域。主要內(nèi)容包括：
　　 ⑴基于輕量級(jí)虛擬機(jī)的二進(jìn)制解析器。該技術(shù)可以有效地識(shí)別出子程序的參數(shù)和局部變量，同時(shí)解決了通過棧空間進(jìn)行數(shù)據(jù)傳遞的問題。
　　 ⑵跨基本塊寄存器傳播技術(shù)。在已

3、有的數(shù)據(jù)流分析方法中，寄存器的傳播都是局限于基本塊內(nèi)部，這樣導(dǎo)致基本塊之間變量的關(guān)系不明顯，寄存器傳播不徹底。使用跨基本塊寄存器傳播技術(shù)可以方便地解決這問題。
　　 ⑶采用公有簽名法進(jìn)行C++STL(標(biāo)準(zhǔn)模版庫：Standard Template Library)識(shí)別。通過公有簽名最優(yōu)匹配的方法，可以有效識(shí)別不同編譯器、不同優(yōu)化選項(xiàng)組合、不同版本的C++STL。在已公開的反編譯器中，還沒有任何一個(gè)能做到在沒有符號(hào)信息的情況下識(shí)別

4、C++STL。本文提出的采用公有簽名法進(jìn)行C++STL的識(shí)別可以在沒有符號(hào)信息的情況下識(shí)別出C++STL。
　　 ⑷通過對(duì)Microsoft Visual C++編譯器對(duì)C++的編譯行為的分析，得出一套有效識(shí)別C++類、類成員函數(shù)以及類之間關(guān)系的方法，這是進(jìn)行C++后續(xù)反編譯的基礎(chǔ)。
　　 ⑸以上新技術(shù)和對(duì)C++類、類成員函數(shù)和類之間的關(guān)系的識(shí)別在一個(gè)名為C-Decompiler的C/C++反編譯上得以實(shí)現(xiàn)。它運(yùn)行于wi

5、ndows操作系統(tǒng)，讀取輸入的exe文件，生成對(duì)應(yīng)功能的C/C++代碼。
　　 ⑹反編譯器C-Decompiler架構(gòu)的創(chuàng)新之處在于加入了堆棧監(jiān)視器(Stack Monitor)，它利用輕量級(jí)虛擬機(jī)技術(shù)對(duì)反編譯的前端進(jìn)行全程監(jiān)視，從而實(shí)現(xiàn)堆棧跟蹤的目的。
　　 ⑺實(shí)驗(yàn)結(jié)果方面，提供了8個(gè)測試程序，分別從不同的方面反映C-Decompiler的反編譯能力。在函數(shù)分析，變量分析、代碼縮減率(reduction[％])、代碼膨