反編譯器C-Decompiler關鍵技術的研究和實現.pdf

1、作為逆向領域的關鍵部分，反編譯技術在軟件安全和維護方面扮演著非常重要的角色。反編譯技術起源于上世紀60年代，只比編譯技術晚10年。但反編譯技術的成熟度遠不如編譯技術。反編譯領域存在很多亟需解決的難點。數據流分析是其中最為困難的一點。在過去50年的發(fā)展過程中，出現了不少實驗性的反編譯器。其中以Dcc,Boomerang和IDA Pro的反編譯插件Hex_rays最為著名。然而這些反編譯器都存在著各種各樣的缺陷。例如，Dcc只能識別最簡單的

2、數據類型，是這三個反編譯器中反編譯功能最弱的一個；Boomerang則無法識別復雜的數據結構，如C++的類和多維數組；Hex_rays只能產生可讀性較低的C偽代碼，同樣無法識別復雜的數據結構。本文在前人的基礎上，提出了3項新技術用于反編譯領域。主要內容包括：
　　 ⑴基于輕量級虛擬機的二進制解析器。該技術可以有效地識別出子程序的參數和局部變量，同時解決了通過?？臻g進行數據傳遞的問題。
　　 ⑵跨基本塊寄存器傳播技術。在已

3、有的數據流分析方法中，寄存器的傳播都是局限于基本塊內部，這樣導致基本塊之間變量的關系不明顯，寄存器傳播不徹底。使用跨基本塊寄存器傳播技術可以方便地解決這問題。
　　 ⑶采用公有簽名法進行C++STL(標準模版庫：Standard Template Library)識別。通過公有簽名最優(yōu)匹配的方法，可以有效識別不同編譯器、不同優(yōu)化選項組合、不同版本的C++STL。在已公開的反編譯器中，還沒有任何一個能做到在沒有符號信息的情況下識別

4、C++STL。本文提出的采用公有簽名法進行C++STL的識別可以在沒有符號信息的情況下識別出C++STL。
　　 ⑷通過對Microsoft Visual C++編譯器對C++的編譯行為的分析，得出一套有效識別C++類、類成員函數以及類之間關系的方法，這是進行C++后續(xù)反編譯的基礎。
　　 ⑸以上新技術和對C++類、類成員函數和類之間的關系的識別在一個名為C-Decompiler的C/C++反編譯上得以實現。它運行于wi

5、ndows操作系統(tǒng)，讀取輸入的exe文件，生成對應功能的C/C++代碼。
　　 ⑹反編譯器C-Decompiler架構的創(chuàng)新之處在于加入了堆棧監(jiān)視器(Stack Monitor)，它利用輕量級虛擬機技術對反編譯的前端進行全程監(jiān)視，從而實現堆棧跟蹤的目的。
　　 ⑺實驗結果方面，提供了8個測試程序，分別從不同的方面反映C-Decompiler的反編譯能力。在函數分析，變量分析、代碼縮減率(reduction[％])、代碼膨