面试题：C语言函数混淆与逆向分析

Question

编写一段C语言代码，实现一个功能为计算两个整数之和的函数。要求使用代码混淆技术，使得函数逻辑难以通过逆向工程直接分析出来，比如使用控制流平坦化、指令替换等技术。然后阐述逆向工程师可能面临的分析难点，以及如何在一定程度上防御逆向工程分析该函数。

Answer 1

C语言代码实现

#include <stdio.h>

// 函数声明
int obfuscatedAdd(int a, int b);

// 混淆后的加法函数
int obfuscatedAdd(int a, int b) {
    int result = 0;
    int carry = 0;
    int bit;

    // 控制流平坦化示例
    while (1) {
        bit = (a & 1) ^ (b & 1) ^ carry;
        carry = ((a & 1) & (b & 1)) | ((b & 1) & carry) | ((a & 1) & carry);
        result |= bit;
        a >>= 1;
        b >>= 1;
        if (a == 0 && b == 0 && carry == 0) break;
        result <<= 1;
    }

    return result;
}

int main() {
    int num1 = 5;
    int num2 = 3;
    int sum = obfuscatedAdd(num1, num2);
    printf("Sum of %d and %d is %d\n", num1, num2, sum);
    return 0;
}

逆向工程师面临的分析难点

1. 控制流平坦化：常规的加法操作通常是较为直接的计算逻辑。但通过控制流平坦化，将原本简单的计算过程放在一个大循环中，并通过条件判断来模拟位运算的逐步执行，使得逆向工程师难以直观地看出这是在进行加法操作。因为他们需要跟踪整个循环的执行逻辑，理清每个步骤对最终结果的贡献。
2. 指令替换：使用位运算来替代常规的加法运算符，对于逆向工程师来说，理解这些位运算如何协同工作以实现加法功能需要花费更多时间和精力。逆向工程师需要熟悉位运算规则，并结合循环逻辑来推断出其实现的是加法功能。

一定程度上防御逆向工程分析该函数的方法

1. 使用加密和签名：对可执行文件进行加密，只有在运行时通过特定的密钥进行解密。同时，对可执行文件进行数字签名，验证文件的完整性和来源合法性。如果逆向工程师尝试修改代码，签名将失效，程序可能无法正常运行。
2. 增加反调试技术：在函数中或程序中加入反调试代码，例如检测是否有调试器附着在进程上。如果检测到调试器，程序可以采取异常行为，如终止运行或跳转到错误处理代码，使逆向工程师难以通过调试工具来分析函数逻辑。
3. 代码虚拟化：将关键的函数逻辑通过代码虚拟化技术进行处理，将原本的机器指令转换为自定义的字节码，并在运行时通过自定义的虚拟机来执行这些字节码。这样，逆向工程师面对的将是自定义的字节码和虚拟机逻辑，大大增加了逆向分析的难度。