代码混淆与反混淆

解决什么问题

原生二进制的混淆早已不是简单的字符串隐藏或入口点调整，而是一整套分层的防御策略。当拿到一份被保护的可执行文件时，常见的痛点包括：静态反编译无法得到可读的伪代码，导入表为空导致无法定位关键 API 调用，字符串被加密到运行时才解密，控制流被拆成状态机而失去直观的分支逻辑。基础模型在处理这类样本时，常常混淆「加壳」与「混淆」的概念，也容易忽略静态脱敏与动态脱敏在策略上的本质差异——前者依赖符号执行与模式匹配，后者依赖插桩或调试器附加。本技能要解决的，正是从识别到拆解的完整分析链路，而不是给出一个笼统的「已脱敏」结论。

核心能力与关键步骤

技能的核心能力分为三个层级：识别、分类与拆解。

• 识别层：通过静态特征快速定位混淆类型，例如在 IDA / Ghidra 中观察到大量无意义跳转、常量比较与死代码，可以初步判定存在控制流平坦化或垃圾代码注入。
• 分类层：将混淆归入具体技术家族，包括不透明谓词（opaque predicates）、语义篡改（SMC）、movfuscator、控制流平坦化、字符串加密、导入表隐藏以及反反汇编技巧。对于虚拟机保护器（如 VMProtect、Themida、Code Virtualizer），技能会明确区分其保护层与原始指令的边界。
• 拆解层：根据混淆类型选择策略——静态脱敏优先使用符号执行工具（angr、Z3）进行路径探索与约束求解；动态脱敏则依赖调试器附加或运行时内存捕获，定位解密后的明文代码段。

关键步骤如下：

1. 使用 IDA / Ghidra 收集初始静态特征（函数调用图、导入表、字符串分布）。
2. 根据特征匹配混淆模式，确定优先处理的技术点。
3. 若存在 anti-debugging-techniques，先剥离反调试层再进入混淆分析。
4. 若涉及 VM 保护器，参考 vm-and-bytecode-reverse 进入字节码分析路径。

适用边界与注意点

• 本技能聚焦于「识别与分析」，不负责生成混淆代码或自动化脱敏脚本。拆解结果需要配合具体工具（如 angr、Z3、调试器）执行。
• 对于采用未知或定制化混淆技术的样本，技能只能提供分析框架，无法保证拆解成功率。
• 动态脱敏依赖运行环境，样本若包含环境检测（如虚拟机、沙箱指纹），需要在隔离环境中配合反检测策略使用。
• 技能不处理加壳样本的原始入口点恢复，那属于 anti-debugging-techniques 与脱壳工具的职责范围。