反反汇编Patch技术学习(三)：复杂跳转混淆技术详解

1. 前言

本文是反反汇编Patch技术系列的第三篇，重点介绍利用复杂跳转指令(jxx)混淆反汇编引擎的高级技术。前两篇介绍了通过call $+5获取EIP和子函数劫持父函数流程的技术。

2. 常见混淆技术的局限性

2.1 传统jz/jnz跳转的局限性

许多资料提到使用jz和jnz跳转到相同地址的技术，但实际上：

• 对IDA的反汇编引擎(包括线性扫描和递归下降算法)效果有限
• 除非结合EB花指令使用，但这种方法缺乏新意

3. 高级跳转混淆技术

3.1 JMP到JMP+1技术

实现步骤：

1. 在一系列NOP指令中插入EB FF(jmp short 0x140001019)
2. 跳转目标是jmp指令的中间部分(0x140001019)

进阶变形：

EB FF C0    ; jmp short 0x140001019 + inc eax
FF C8       ; dec eax

效果分析：

• IDA会将0xEB识别为数据，导致栈平衡分析失败
• 动态调试会暴露所有细节
• 三条指令实际效果相互抵消(inc eax + dec eax)

去花方法：
直接使用三连NOP替换EB FF C0

3.2 复杂布局技术

实现步骤：

1. 插入mov ax,05EBH和XOR eax,eax指令
   • 05EBH中的EB是关键布局点
2. 添加74 FA(jz $-6)跳转到之前的EB位置

IDA表现：

• 简单的按d识别数据会破坏jmp指令
• 反汇编结果看起来非常混乱

动态调试流程：

1. 执行跳转到0x7FF6466B1007
2. 按c识别为代码
3. 执行EB 05跳转到下一条指令+5的地址

4. 去花技术

4.1 基本去花方法

• 动态调试容易发现花指令执行逻辑
• 直接使用NOP指令替换花指令区域

4.2 IDAPython去花脚本

def NopBytes(start, length):
    for i in range(0, length):
        PatchByte(start + i, 0x90)
    MakeCode(start)

# 使用示例
NopBytes(addr, n)

4.3 特殊情况处理

• 当花指令包含程序原有必要jmp指令时
• 不能简单NOP整个区域
• 需要保留原有jmp指令并精确修补

5. 技术总结

1. 跳转目标选择：跳转到指令中间位置能有效混淆反汇编引擎
2. 指令序列设计：使用相互抵消的指令对(如inc/dec)增加分析难度
3. 动态调试暴露：所有花指令细节在调试时可见，但静态分析困难
4. 修补策略：多数情况下可NOP替换，复杂情况需精确修补

6. 防御建议

1. 结合多种技术：将跳转混淆与其他反反汇编技术结合使用
2. 增加反调试：防止攻击者轻易通过动态调试分析
3. 代码混淆：在关键位置插入无实际效果但增加分析难度的指令
4. 多层嵌套：构建多级跳转和混淆结构

这些技术展示了如何通过精心构造的跳转指令序列来有效对抗反汇编引擎的分析能力，为二进制代码保护提供了有力手段。