IDA代码修复的问题

44269597 · 2021 年1 月 4 日 06:59

在IDA中经常碰到源码应该是类似switch语句的架构，
汇编为
ADR X9, A
LDRH W10, [X25,X8,LSL#1]
ADD X9, X9, X10,LSL#2
BR x9
但是F5之后得到的是
JUMPOUT(CS, (char *)&A + 4 * B[v13]);
这样的结果
如何修复将其修改成switch的伪码那？

LQMIKU · 2021 年1 月 11 日 16:59

一般都是用X8做目标函数地址寄存器的，这种用X9的似乎是动态变化的

44269597 · 2021 年1 月 13 日 03:30

是动态变化的，这里是碰到数组结果赋值给x9；
还有直接是一个函数返回值赋值给寄存器，然后利用br 跳转的，这2种我都不知道怎么进行恢复，switch。

LQMIKU · 2021 年1 月 18 日 13:23

看雪上有关于jumpout的对抗方法，分享一个对抗JUMPOUT的小技巧，不过似乎只是单独一个地址的跳转。你这种地址数组（多个可能地址）的跳转的话，感觉弄成switch是个不错的办法。只是我也不会弄这个

44269597 · 2021 年1 月 19 日 08:50

如何恢复成switch的，或者别的什么方法，能看出伪码就行啊，暂时还没找到什么解决办法。

loary_fly · 2021 年12 月 28 日 03:55

最后搞定了吗？

MyLab2021 · 2021 年12 月 28 日 06:22

看这篇文章，有你想要的 Anti-Disassembly on ARM64 - #15 由 Zhang

yangyss · 2021 年12 月 28 日 06:26

选中 br x9，然后ida中代开
edit ->>>> other ->>>> Specify switch idiom…
然后按下图，操作:
1111

各个参数，对应如下:

注释: 弄完了之后，先删掉当前函数，然后从新创建函数.
遇到表的格式，不一样的，就自建跳转表。

44269597 · 2021 年12 月 28 日 08:35

学习了，谢谢！

loary_fly · 2021 年12 月 28 日 12:28

老哥，我这个jumpout怎么填弹框里的那些元素？

JUMPOUT(CS,idb_tbl_3[0]);

yangyss · 2021 年12 月 29 日 01:58

不就是没基址没移动位么…你对比下啊

JUMPOUT( CS ,0x00000 + 1*idb_tbl_3[0]);
翻译不一定准，对比汇编看，汇编才是准的