【看雪论坛】Unicorn高级逆向与反混淆课

这门课解决的到底是什么问题

移动端逆向做到一定深度，绕不开两个卡点：一是 native 层代码没法像 Java 层那样直接丢进 jadx 看个大概，二是 OLLVM 这类混淆把控制流打散之后，静态阅读基本失效。Unicorn 在这里的价值不是「又一个模拟执行框架」，而是让你能把一段 so 里的机器码搬到自己的宿主程序里跑起来，寄存器、内存、调用栈全部可控，从而在可控环境里观察真实的执行路径。这门课的主体就落在这个位置上：用 Unicorn 搭调试器、跑 JNI 交互、分析 emu 源码，最后把能力收束到 OLLVM 反混淆。

技术栈与知识前提

课程默认你已经能读懂 ARM/ARM64 汇编，知道 JNI 的函数注册与调用约定，Python 或 C/C++ 至少一门能写工具脚本。Unicorn 本体是 CPU 模拟器，绑定语言以 Python 和 C 为主，课程里调试器和插件部分会大量用到它的 hook 机制——代码 hook、内存 hook、异常 hook，这三类 hook 是后面所有工作的地基。如果对 Unicorn 的uc.Uc实例、内存映射、上下文保存恢复这些概念还比较陌生，建议先花时间把官方 sample 跑通，再回来跟课，否则 0x7 那种体量的 emu 源码分析会跟得很吃力。

内容组织的几条主线

• Unicorn 调试器编写（0x6）：核心是把模拟器包装成一个可交互的调试器。断点、单步、寄存器读写、内存 dump 这些功能都要基于 hook 回调自己实现，过程中会反复碰到「模拟执行到某条指令时如何停下来并拿到上下文」这类工程问题。
• emu 源码分析（0x7）：体量最大的一节，重点是理解一个模拟执行框架内部是怎么组织指令解码、内存访问和异常分发的。看懂这层，前面写调试器时遇到的很多「为什么 hook 没触发」就有答案了。
• JNI 交互（0x3、0x4）：这两个是连着的。0x3 讲 Unicorn 与 Jni 交互，0x4 讲模拟 Jni 与 Java 交互，本质是解决「native 代码依赖 JavaVM、JNIEnv 时怎么在模拟环境里补上这些桩」的问题。做 Android so 逆向，这块是刚需。
• OLLVM 反混淆思路（0x10）：全课的落点。前面所有工具能力在这里被用来对抗控制流平坦化、指令替换、虚假控制流这几类典型混淆。

反混淆部分的实践取向

反混淆不是「一键还原」，课程给的更多是思路和可复用的分析流程。OLLVM 的三种混淆各有特征：控制流平坦化会把基本块塞进一个大的 dispatcher，指令替换把简单运算展开成等价复杂形式，虚假控制流插入永远为真或永远为假的分支。用 Unicorn 对付它们的思路是执行级而非纯静态级——把代码模拟跑起来，记录真实的跳转关系，再从 trace 反推原始控制流图。这条路需要你把前面调试器和 hook 的能力用熟，插件化只是把这些分析步骤固化成可重复调用的模块。0x10 给出的正是这种从 trace 到图还原的组织方式。

怎么用这份资料

这堆内容是典型的「跟着写才有效」型素材。调试器和插件部分，光看视频过一遍几乎留不下东西，建议对着 Unicorn 的 API 自己敲一遍 hook 注册、上下文读写、断点判定；emu 源码分析那节体量大，适合拆成几段，每段看完回到自己的调试器里找对应的实现对照。反混淆部分不要指望现成脚本，重点是理解它如何把执行 trace 转化成可读的控制流。
资料本身覆盖了从模拟器原理到实际对抗混淆的完整链条，但每一环都需要你手上有真实的 so 样本去练。建议准备一个自己感兴趣的、带 OLLVM 混淆的 native 目标，把这门课当成解决这个具体目标的参考手册，而不是按目录顺序打卡。