1. 引言提到 LLVM很多人的第一反應(yīng)是「編譯器基礎(chǔ)設(shè)施」「Clang 的前端」「優(yōu)化代碼」——似乎 LLVM 只和編譯有關(guān)。但實(shí)際上LLVM 的能力遠(yuǎn)不止于此它是一套模塊化的編譯框架允許你在編譯的中間階段插入自定義邏輯從而對(duì)程序做深度改造。本文將以一個(gè)實(shí)戰(zhàn)場(chǎng)景為例通過(guò)編寫(xiě)自定義 LLVM Pass在編譯期自動(dòng)對(duì)函數(shù)名進(jìn)行加密混淆并配合定制 clang 完成整個(gè)編譯流程。讀完本文你將掌握LLVM 的 IR中間表示與 Pass 機(jī)制如何編寫(xiě)一個(gè)簡(jiǎn)單的 FunctionPass 并注冊(cè)到 LLVM如何通過(guò) clang 插件或工具鏈集成讓加密在編譯時(shí)自動(dòng)生效加密后程序的運(yùn)行效果與反編譯對(duì)抗思路。2. 前置知識(shí)LLVM 與 Pass 機(jī)制2.1 LLVM 是什么LLVMLow Level Virtual Machine是一套開(kāi)源的編譯器基礎(chǔ)設(shè)施核心設(shè)計(jì)是「三段式」前端Clang → 中間表示IR → 后端CodeGen前端把高級(jí)語(yǔ)言C/C/Rust 等翻譯成與機(jī)器無(wú)關(guān)的 IR后端再把 IR 翻譯成目標(biāo)機(jī)器碼。中間的 IR 是 LLVM 的靈魂——它既保留了高級(jí)語(yǔ)言的語(yǔ)義信息又足夠底層方便做各種分析和變換。2.2 Pass 是什么Pass 是 LLVM 中「對(duì) IR 做一次遍歷和變換」的單元。你可以把 Pass 理解為編譯流水線(xiàn)上的一個(gè)「加工站」源代碼Clang 前端LLVM IR自定義 Pass函數(shù)名加密優(yōu)化 Pass后端 CodeGen目標(biāo)機(jī)器碼LLVM 官方自帶大量 Pass如-mem2reg、-instcombine而我們今天要做的就是寫(xiě)一個(gè)自定義 Pass在 IR 階段把函數(shù)名替換成隨機(jī)字符串。3. 環(huán)境準(zhǔn)備3.1 安裝 LLVM 開(kāi)發(fā)環(huán)境推薦使用 LLVM 15 或 16 版本較新且穩(wěn)定。以 Ubuntu 為例# 安裝 LLVM 開(kāi)發(fā)庫(kù)sudoapt-getinstallllvm-15-dev llvm-15-tools clang-15# 驗(yàn)證安裝llvm-config-15--versionllvm-config-15--includedir如果你使用 macOS可以通過(guò) Homebrewbrewinstallllvm153.2 項(xiàng)目結(jié)構(gòu)我們創(chuàng)建一個(gè)獨(dú)立的 Pass 工程llvm-func-encrypt/ ├── CMakeLists.txt ├── FuncEncryptPass.cpp └── README.md4. 編寫(xiě)自定義 Pass函數(shù)名加密4.1 Pass 的核心邏輯我們的 Pass 要做三件事遍歷模塊中的所有函數(shù)跳過(guò)main和 LLVM 內(nèi)部函數(shù)避免破壞程序入口把函數(shù)名替換為隨機(jī)生成的字符串。4.2 完整代碼// FuncEncryptPass.cpp#includellvm/IR/Function.h#includellvm/IR/Module.h#includellvm/Pass.h#includellvm/Support/raw_ostream.h#includellvm/IR/LegacyPassManager.h#includellvm/Transforms/IPO/PassManagerBuilder.h#includerandom#includestringusingnamespacellvm;namespace{std::stringrandomName(size_t len){staticconstcharcharset[]abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789;std::random_device rd;std::mt19937gen(rd());std::uniform_int_distributiondis(0,sizeof(charset)-2);std::string s;for(size_t i0;ilen;i){scharset[dis(gen)];}returns;}structFuncEncryptPass:publicFunctionPass{staticcharID;FuncEncryptPass():FunctionPass(ID){}boolrunOnFunction(FunctionF)override{// 跳過(guò) main 函數(shù)避免破壞程序入口if(F.getName()main){returnfalse;}// 跳過(guò)聲明沒(méi)有函數(shù)體的外部函數(shù)if(F.isDeclaration()){returnfalse;}// 生成隨機(jī)新名字std::string newNamerandomName(12);F.setName(newName);errs()[FuncEncrypt] F.getName()\n;returntrue;}};charFuncEncryptPass::ID0;}// namespace// 注冊(cè) PassstaticRegisterPassFuncEncryptPassX(func-encrypt,Encrypt function names,false/* Only looks at CFG */,false/* Analysis Pass */);// 注冊(cè)到 opt 的 Pass 管道staticvoidregisterFuncEncryptPass(constPassManagerBuilder,legacy::PassManagerBasePM){PM.add(newFuncEncryptPass());}staticRegisterStandardPassesY(PassManagerBuilder::EP_EarlyAsPossible,registerFuncEncryptPass);4.3 CMake 配置cmake_minimum_required(VERSION 3.13) project(FuncEncryptPass) find_package(LLVM REQUIRED CONFIG) message(STATUS Found LLVM ${LLVM_PACKAGE_VERSION}) include_directories(${LLVM_INCLUDE_DIRS}) add_definitions(${LLVM_DEFINITIONS}) add_library(FuncEncryptPass MODULE FuncEncryptPass.cpp) target_link_libraries(FuncEncryptPass PRIVATE LLVM)4.4 編譯 Passmkdirbuildcdbuild cmake..make編譯后會(huì)生成libFuncEncryptPass.so這就是我們要用的 Pass 插件。5. 定制 clang讓加密自動(dòng)生效5.1 兩種集成方式要讓加密在編譯時(shí)自動(dòng)生效有兩種思路方式原理適用場(chǎng)景方式 Aopt手動(dòng)加載先用 clang 生成 IR再用opt加載 Pass實(shí)驗(yàn)、調(diào)試方式 Bclang 插件通過(guò)-fpass-plugin讓 clang 自動(dòng)加載 Pass生產(chǎn)、一鍵編譯5.2 方式 A手動(dòng)兩步編譯# 第一步生成 IRclang-15-S-emit-llvm test.c-otest.ll# 第二步加載 Pass 加密函數(shù)名opt-15-load./build/libFuncEncryptPass.so -func-encrypt test.ll-S-otest_enc.ll# 第三步生成可執(zhí)行文件llc-15 test_enc.ll-otest.s clang-15 test.s-otest5.3 方式 Bclang 插件推薦LLVM 15 之后支持-fpass-plugin可以直接讓 clang 在編譯時(shí)加載 Passclang-15 -fpass-plugin./build/libFuncEncryptPass.so test.c-otest這樣一條命令就完成了「編譯 加密」非常方便。5.4 驗(yàn)證效果寫(xiě)一個(gè)簡(jiǎn)單的測(cè)試程序// test.c#includestdio.hintadd(inta,intb){returnab;}intmain(){printf(Result: %d\n,add(3,4));return0;}編譯并查看符號(hào)表clang-15 -fpass-plugin./build/libFuncEncryptPass.so test.c-otest# 查看符號(hào)表nmtest|grep-Eadd|main你會(huì)看到add已經(jīng)被替換成類(lèi)似kX9mQ2vLpZ7a的隨機(jī)字符串而main保持不變。6. 進(jìn)階加密策略與對(duì)抗思路6.1 更復(fù)雜的加密策略上面的例子只是最簡(jiǎn)單的「隨機(jī)改名」。實(shí)際對(duì)抗中可以疊加更多手段字符串加密把函數(shù)內(nèi)的字符串常量也加密運(yùn)行時(shí)解密控制流平坦化打亂 if/else 結(jié)構(gòu)增加逆向難度指令替換把簡(jiǎn)單指令替換為等價(jià)但更復(fù)雜的指令序列花指令插入插入不影響語(yǔ)義的垃圾指令。6.2 注意事項(xiàng)調(diào)試信息加密后符號(hào)名丟失gdb調(diào)試會(huì)變得困難建議在 Debug 構(gòu)建中關(guān)閉加密動(dòng)態(tài)鏈接如果函數(shù)被其他模塊引用如回調(diào)函數(shù)改名會(huì)導(dǎo)致鏈接失敗需要跳過(guò)這些函數(shù)性能加密本身幾乎無(wú)性能開(kāi)銷(xiāo)但復(fù)雜的混淆如控制流平坦化會(huì)顯著增加代碼體積和執(zhí)行時(shí)間。7. 總結(jié)本文從一個(gè)實(shí)戰(zhàn)角度展示了 LLVM 的「非編譯」能力LLVM 的 IR 是高度可編程的中間表示Pass 機(jī)制允許我們?cè)诰幾g期深度改造程序通過(guò)自定義 FunctionPass我們實(shí)現(xiàn)了函數(shù)名的隨機(jī)加密借助 clang 的-fpass-plugin加密可以無(wú)縫集成到日常編譯流程中。LLVM 的價(jià)值遠(yuǎn)不止「編譯」二字。無(wú)論是代碼混淆、性能分析、靜態(tài)檢查還是自定義優(yōu)化LLVM 都提供了強(qiáng)大的擴(kuò)展點(diǎn)。希望本文能幫你打開(kāi) LLVM 進(jìn)階應(yīng)用的一扇窗。