一、反调试与反逆向概述
大家好，我是蓝海。今天咱们聊聊反调试和反逆向。
说实话，这两个词听起来挺唬人的。但说白了，它们就是软件保护的两道防线。我做了这么多年二进制安全，见过太多人一上来就硬刚，结果被卡得死死的。
为什么会这样？因为你连对手的套路都没摸清，怎么打？
1.1 什么是反调试
反调试，就是程序检测自己是否在被调试器跟踪。如果发现有人盯着它，它就玩点小花招——要么直接退出，要么输出假数据，要么干脆死循环。
我举个例子。你写了个CrackMe，别人用OllyDbg或者x64dbg一附加，你的程序就检测到了。这时候你怎么办？
常见的反调试手段有这些：
- ptrace检测：Linux下最经典的一招。程序调用ptrace(PTRACE_TRACEME)，如果返回-1，说明已经被调试了。
- NtQueryInformationProcess：Windows下查进程的调试端口。我当年第一次遇到这招，愣是查了半天资料才搞明白。
- 时间差检测：单步执行时，指令间的时间差会异常大。用rdtsc指令就能算出来。
- 断点扫描：检查代码段里有没有0xCC（int 3）字节。这招简单粗暴，但很有效。
核心要点：反调试不是要让你完全无法调试，而是要增加你的分析成本。让你花更多时间，犯更多错误。
1.2 什么是反逆向
反逆向比反调试更狠。它不光是防调试，而是防你理解程序的逻辑。
我见过最夸张的一个样本，代码里混了十几层虚拟化。你看到的汇编指令全是假的，真正的逻辑在一个自定义的虚拟机里跑。我当时差点把键盘砸了。
常见的反逆向技术包括：
- 代码混淆：把简单的逻辑变成一团乱麻。比如把a+b拆成a xor b + (a and b) << 1，看着就头疼。
- 控制流平坦化：把正常的if-else、循环全打散，变成一个巨大的switch-case。你顺着执行流走，根本找不到北。
- 字符串加密：所有关键字符串都加密存储，运行时才解密。你搜不到"注册成功"、"密码错误"这些关键词。
- 反编译对抗：专门针对IDA、Ghidra等工具，生成它们解析不了的代码结构。
我的经验：遇到反逆向，别想着硬解。先跑起来，看行为，再反推逻辑。我曾经花了一周硬啃一个混淆过的算法，最后发现用动态分析十分钟就搞定了。
1.3 为什么需要绕过
你可能会问：人家保护自己的软件，我为什么要绕过去？
这个问题问得好。我分几种情况说：
- 安全研究：分析恶意软件，了解它的行为，才能防御它。你不会想给勒索软件付赎金吧？
- 漏洞挖掘：很多漏洞藏在受保护的代码里。不绕过保护，你就发现不了。
- 逆向工程：合法的逆向，比如分析旧系统的兼容性问题，或者学习别人的优秀设计。
- CTF竞赛：这就不用多说了，比赛里到处都是反调试反逆向，绕不过去就交不了flag。
注意：绕过保护不等于破解软件。请遵守法律法规，只在合法范围内进行逆向分析。
1.4 angr在其中的角色
好了，前面铺垫了这么多，终于轮到主角登场了。
angr是什么？它是一个符号执行引擎。说白了，它不关心程序具体怎么跑，它关心的是：程序在什么条件下会走到哪条路。
我打个比方。传统调试就像你跟着一个人走迷宫，他走一步你跟一步。而angr呢？它直接问迷宫：如果我在第一个路口左转，后面会怎样？如果右转呢？它把所有可能的路都算一遍。
这对反调试和反逆向意味着什么？
- 反调试？ angr不需要真正的调试器。它模拟执行，那些检测调试器的代码根本发现不了它。
- 反逆向？ angr直接分析程序的约束条件。你混淆得再花哨，最终还是要做判断。angr就抓这个判断。
- 路径爆炸？ 嗯，这是个问题。但angr有各种策略来缓解，比如符号变量合并、路径剪枝等。
我刚开始用angr时，觉得它就是个黑魔法。后来慢慢理解了它的原理，才发现它其实很朴实——就是解方程。只不过解的是程序的方程。
下面这张图展示了angr在反调试反逆向中的核心位置：
看到这张图，你应该能理解angr的定位了。它不是要替代传统的调试器，而是提供一种全新的视角。当你被反调试搞得焦头烂额时，angr可以帮你绕过去。当你被混淆代码搞得晕头转向时，angr可以帮你理清逻辑。
我的建议：别把angr当成万能药。它有自己的局限性，比如路径爆炸问题、对系统调用的模拟不完整等。但如果你用对了场景，它绝对是一把利器。
好了，这一章就到这里。记住一句话：知己知彼，百战不殆。了解反调试和反逆向的原理，再学会用angr这把刀，后面的章节我们会一步步深入实战。