Obfusk8 是一个轻量级、仅头文件的 C++17 库，旨在显著增强应用程序的混淆程度，使逆向工程变得更具挑战性。它通过一系列编译期和运行期技术来实现这一目标，以保护代码的逻辑和数据。
main 函数包装（_main 宏）应用程序的入口点（main）会被转换为一个复杂的、多层次的混淆引擎：
main_body_main 宏中的关键循环（无论是序言还是尾声）都会被转换为复杂的状态机。控制流不是直接的，而是由经过高度“加密”的状态变量决定。这些状态变量的编解码键是动态的，来源于 VM 状态、循环计数器、编译期随机性（如 __COUNTER__、__LINE__、__TIME__）以及一个全局不透明种子。这使得对控制流的静态分析异常困难。
obf_icff_ns_dcff 和 obf_icff_ns_epd）使用了不同的状态转换逻辑和密钥生成方式，进一步增加了分析难度。OBF_BOGUS_FLOW_* 宏）：在整个 _main 中注入了大量误导性的跳转模式和错综复杂的条件结构。这些结构使用 goto 语句结合不透明谓词（始终评估为真或假，但计算开销很大或难以静态确定的条件）。这为反汇编器和反编译器制造了一个虚假路径的迷宫。
OBF_BOGUS_FLOW_LABYRINTH、OBF_BOGUS_FLOW_GRID、OBF_BOGUS_FLOW_SCRAMBLE、OBF_BOGUS_FLOW_WEAVER、OBF_BOGUS_FLOW_CASCADE 和 OBF_BOGUS_FLOW_CYCLONE，以生成多样化且复杂的虚假流。Runtime 宏，SEH）：
__except 块可以改变程序状态，使得调试器跳过异常时难以跟踪程序。Runtime 宏包含一些条件，如果满足（由于特定的 VM 状态或时序），可能触发 __debugbreak() 或抛出异常，旨在干扰调试会话。obf_vm_engine）_main 宏混淆的核心组件：
r0、r1、r2）、程序计数器（pc）和 dispatch_key 的 CPU。它执行自定义的“指令”（处理程序）。reg_dispatch_idx）。get_mem_dispatch_table）。mixed_dispatch_idx）。
dispatch_key 不断变化，使得所执行处理程序的序列极难预测。vm_handler_table）本身会在 _main 序言和尾声中的运行期被修改，进一步模糊 VM 的行为。AES8.hpp 的 OBFUSCATE_STRING）__FILE__、__LINE__）和构建时间（__DATE__、__TIME__）。AES8.hpp 的 MSVC 特定功能）。Resolve8.hpp 的 STEALTH_API_OBFSTR / STEALTH_API_OBF）GetModuleHandle 和 GetProcAddress 进行初始解析——如果这些函数本身尚未被该机制解析的话。CT_HASH）进行查找。这防止了使用这些宏时二进制文件的导入相关数据或字符串表中出现明文的 DLL 和 API 名称。K8_SYSCALL）Obfusk8 现在集成了最先进的间接系统调用机制，以绕过用户态钩子（EDR/AV）和静态分析检查。
K8_SYSCALL("ZwOpenProcess", ...) 代替 NtOpenProcess。OBF_METHOD）Obfusk8 现在通过基于方法的混淆提供对二进制文件安全性的细粒度控制。您不再需要混淆整个项目（这可能会影响性能），而是可以有针对性地保护特定的高价值函数或类方法。
OBF_METHOD 宏定义你的方法： ```cpp
OBF_METHOD(ret_type, func_name, params, method_body)
ret_type：函数的返回类型（例如 bool、int、void*）。func_name：方法的名称。params：函数参数（必须用括号括起来）。method_body：函数中括在 { } 内的实际逻辑。在此示例中，PrintStatus 是一个正常、可读的函数。Obfusk8_PrintStatus 受 Obfusk8 保护。```cpp
#include "../Instrumentation/materialization/state/Obfusk8Core.hpp"
#include "../Instrumentation/materialization/transform/K8_UTILS/k8_utils.hpp" // for the printf_, u can change the printf_ with anything else...
class Obfusk8_C { public: // standard method which is visible to reverse engineers void PrintStatus(void) { printf_("method\n"); }
// Obfuscated method protected by Obfusk8
OBF_METHOD_(void, Obfusk8_PrintStatus, (void),
{
printf_("same method but Obfuscated\n");
})
};
_main({ Obfusk8_C *pp = new Obfusk8_C; pp->PrintStatus(); pp->Obfusk8_PrintStatus(); delete pp; })
*你可以在此查看完整示例：[obfusk8_methods.cpp](https://github.com/x86byte/Obfusk8/blob/main/Obfusk8/EXAMPLES/obfusk8_methods.cpp)*
---
### 6. 具有内置隐蔽功能的 API 抽象类
Obfusk8 提供了封装常用 Windows API 集合的辅助类。这些类在构造过程中自动使用隐蔽式 API 解析机制（`STEALTH_API_OBFSTR`），确保底层 Windows 函数的解析不会留下明显的静态导入痕迹。
- **`K8_ProcessManipulationAPIs::ProcessAPI` (`k8_ProcessManipulationAPIs.hpp`)**：
* 提供对进程操作 Windows API 的便捷访问，例如 `OpenProcess`、`TerminateProcess`、`CreateRemoteThread`、`VirtualAllocEx`、`WriteProcessMemory`、`ReadProcessMemory`、`GetProcAddress`、`GetModuleHandleA`、`NtQueryInformationProcess`、`SuspendThread` 和 `GetCurrentProcessId`。
* **自动隐蔽式解析**：以隐蔽方式从 `kernel32.dll` 和 `ntdll.dll` 解析所需函数。
* 简化进程相关操作的执行，同时减少静态分析足迹。包含用于 `NtQueryInformationProcess` 的 `PROCESSINFOCLASS` 枚举。
- **`k8_CryptographyAPIs::CryptographyAPI` (`k8_CryptographyAPIs.hpp`)**：
* 提供常见 Windows 加密 API（CAPI/CNG）函数的包装器。（功能取决于该文件的实际实现——提供的代码片段是重复的。假设是典型的 CAPI 函数，如 `CryptAcquireContextA`、`CryptCreateHash` 等。）
* **自动隐蔽式解析**：以隐蔽方式主要从 `advapi32.dll`（以及用于核心函数的 `kernel32.dll`）解析所需函数。
* 在尽量减少加密 API 使用暴露的同时，方便执行加密操作。
- **`k8_NetworkingAPIs::NetworkingAPI` (`k8_NetworkingAPIs.hpp`)**：
* 提供对来自 `wininet.dll`（例如 `InternetOpenA`、`HttpOpenRequestA`、`FtpPutFileA`）、`urlmon.dll`（例如 `URLDownloadToFileA`）、`ws2_32.dll`（例如 `socket`、`connect`、`WSAStartup`）、`shell32.dll`（例如 `ShellExecuteA`）、`dnsapi.dll`（例如 `DnsQuery_A`）以及 `mpr.dll`（例如 `WNetOpenEnumA`）的多种网络函数的便捷访问。
* **自动隐蔽式解析**：在其构造函数中，使用 `STEALTH_API_OBFSTR` 和 `OBFUSCATE_STRING` 从各自的 DLL（以及用于 `LoadLibraryA`/`GetLastError` 的 `kernel32.dll`）解析所有所需函数，而不会留下明显的导入痕迹。
* 简化发起混淆网络请求以及执行其他网络相关任务的过程。
- **`RegistryAPIs::RegistryAPI` (`k8_RegistryAPIs.hpp`)**：
* 封装常用 Windows 注册表函数，例如 `RegSetValueExA`、`RegCreateKeyExA`、`RegOpenKeyExA`、`RegQueryValueExA`、`RegCloseKey` 等。
* **自动隐蔽式解析**：在构造期间以隐蔽方式从 `advapi32.dll`（和 `kernel32.dll`）解析函数。
* 通过较难追踪的 API 调用辅助执行注册表操作。
### 7. 核心混淆原语（`Obfusk8Core.hpp` 中的宏）
这些是库中广泛使用的基础构建块，尤其是在 `_main` 宏和 VM 引擎中：
* **混合布尔算术（MBA）**：将简单的数学和逻辑运算（ADD、SUB、XOR、NOT、MUL）转换为复杂但等价的位运算和算术公式序列（例如 `OBF_MBA_ADD`、`OBF_MBA_XOR`）。这些设计旨在让反编译器极难将其简化回原始形式。
* **不透明谓词**：插入条件分支，其中条件始终评估为真（例如 `OBF_OPAQUE_PREDICATE_TRUE_1`）或始终为假（例如 `OBF_OPAQUE_PREDICATE_FALSE_1`）。这些条件由涉及 `__COUNTER__`、`__LINE__`、`__TIME__` 和 `_obf_global_opaque_seed` 的复杂且难以静态评估的表达式构造而成。它们会创建误导性的代码路径，并可用于保护死代码或强制特定的执行流程。
* **垃圾代码注入**：
* `OBF_CALL_ANY_LOCAL_JUNK`：调用 `obf_junk_ns` 中定义的许多小型随机垃圾函数之一。这些函数执行琐碎且易变（volatile）的操作，并在编译时随机选择。其目的是增加代码熵、打乱简单代码模式，并可能误导基于签名的检测或分析工具。
* `NOP()`：一个宏，插入易变（volatile）操作，旨在防止优化器轻易移除，并微妙地修改全局种子。
* **反汇编与反分析技巧**：
* **混淆跳转（`OBF_JUMP_*` 宏）**：创建条件或目标被混淆的 `goto` 语句，通常依赖不透明谓词或 MBA。
* **混淆状态转换（`OBF_SET_NEXT_STATE_*` 宏）**：在 ICFF 中使用，这些宏使用与混淆跳转类似的混淆技术，为扁平化控制流分发器设置下一个状态变量。
* **栈操作（`OBF_STACK_ALLOC_MANIP`、`OBF_FAKE_PROLOGUE_MANIP`）**：在栈上分配可变大小的块并对其执行虚假操作。伪函数序言试图迷惑栈分析。
* **混淆函数调用（`OBF_CALL_VIA_OBF_PTR`）**：函数指针在使用前后与动态密钥进行 XOR，从而掩盖真实的调用目标。
* `K8_ASSUME(0)`：用于死代码路径，向 MSVC 编译器提示这些路径不可达，从而可能允许不同的优化或代码生成；如果该假设被补丁破坏，则可能进一步迷惑分析。
### 依赖项
Obfusk8 库是模块化的。核心功能依赖于：
- `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp`：（此文件）中央头文件，负责编排并提供主要的混淆宏和原语。
- `Obfusk8/Instrumentation/materialization/transform/AES8.hpp`：提供基于 AES 的编译时字符串加密和可选的 PE 节操作功能。
- `Obfusk8/Instrumentation/materialization/transform/Resolve8.hpp`：实现基于 PEB 的隐蔽式 Windows API 解析。
* `Obfusk8/Instrumentation/materialization/transform/k8_indsys.hpp`：编排**间接系统调用引擎**。它管理过渡桩的生命周期，并提供通过横向内存小工具执行系统调用的接口。
* `Obfusk8/Instrumentation/materialization/transform/getpeb8.hpp`：促进初始引导和**PEB 发现**。它包含自定义哈希逻辑、原生结构定义以及用于 SSN 推断的“Sorting Hat”算法。它是所有模块枚举任务的底层基础。
可选的辅助 API 类在单独的头文件中提供，通常位于子目录中：
- `k8_ProcessManipulationAPIs/k8_ProcessManipulationAPIs.hpp`：用于隐蔽式进程操作 API。
- `k8_CryptographyAPIs/k8_CryptographyAPIs.hpp`：用于隐蔽式加密 API。
- `k8_NetworkingAPIs/k8_NetworkingAPIs.hpp`：用于隐蔽式网络 API。
- `k8_RegistryAPIs/k8_RegistryAPIs.hpp`：用于隐蔽式注册表 API。
### 可视化
* **IDA 图**：
* **来自 IDA Pro 的一些片段**：
* **Detect It Easy 签名结果**：
* **来自 VirusTotal 的众包 YARA 规则**：
* **内存映射（来自 DIE）**：
* **节**：
* **绑定文件**：
### 引擎分析与检测概况
Obfusk8 的设计优先考虑绕过基于静态签名的检测引擎。针对行业标准厂商的测试表明，核心混淆逻辑仍未被主要安全产品检测到，包括：
* **Microsoft Defender**：未检测到
* **Kaspersky**：未检测到
* **ESET-NOD32**：未检测到
* **BitDefender**：未检测到
虽然静态签名可以被绕过，但某些次世代杀毒软件和 EDR（如 CrowdStrike 或 Symantec）可能会生成标记为“可疑”或“高置信度恶意”的启发式标志。这些检测通常由较高的架构复杂性和自定义 PE 节的存在触发，而不是可识别的恶意代码。
### 结构与取证特征
* **熵管理**：当前实现产生的全局熵约为 6.2。这是有意平衡的，既足够高以混淆逻辑，又足够低以避免高于 7.0 的熵水平触发的常见“已加壳文件”警报。
* **节自定义**：默认配置包含 23 个 PE 节，其中一些使用诱饵名称（例如 `.themida`、`.vmp0`、`.enigma2`）来模仿已知的商业保护程序。
* **启发式优化**：为进一步降低可疑度得分，用户可以将这些节重命名为通用字符串（例如 `.data_01`、`.rdata_aux`）。标准化节名称通常会降低启发式“唯一性”得分，使二进制文件看起来更像传统的编译应用程序。
* **导入混淆**：该库成功消除了关键 Windows API 的导入地址表（IAT）足迹。通过利用进程环境块（PEB）进行解析以及间接系统调用引擎，二进制文件保持清晰干净的调用栈，防止行为监控器将系统调用追溯到受保护的代码区域。
- **快速说明**：
* **SSN 推断**：为了绕过通常放置在 ntdll.dll 指令流上的用户模式钩子，引擎利用相对排序算法。通过解析导出目录并按内存地址对所有 Zw 前缀函数进行排序，引擎根据其相对索引推断系统服务编号（SSN）。这使框架无需读取函数序言中被挂钩的字节即可识别正确的系统调用索引。
动态系统调用桩：库没有在用户态二进制文件中使用静态系统调用指令，而是动态分配可执行内存来承载临时过渡桩。引擎使用自定义 shellcode 序列（`mov r10, rcx; mov eax, ssnnumber; syscall; ret`）填充这些桩，以间接执行系统调用。
* **链式引导**：解析过程是自举的；引擎使用初始解析调用来为后续间接系统调用建立环境。这确保进程的整个生命周期（从模块枚举到函数执行）对行为监控器保持不透明，并维护干净的调用栈。
* **反取证**：使用混合布尔算术（MBA）和多层虚拟指令集架构（V-ISA）确保即使获取了内存转储，底层逻辑也难以通过自动化去混淆工具重建。
### 用法
1. 在主项目文件（例如 `main.cpp`）中包含 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp`。
```cpp
#include "Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp" // Adjust path as needed
```
2. 使用 `_main` 包裹 `main` 函数体：
```cpp
_main({
// Your application's original main code here
// Example:
// OBFUSCATE_STRING("Hello, Obfuscated World!").c_str();
// Using an API wrapper class
k8_NetworkingAPIs::NetworkingAPI* netAPI = new k8_NetworkingAPIs::NetworkingAPI;
if (netAPI->IsInitialized() && netAPI->pInternetOpenA) {
HINTERNET hInternet = netAPI->pInternetOpenA(OBFUSCATE_STRING("MyAgent").c_str(), INTERNET_OPEN_TYPE_DIRECT, NULL, NULL, 0);
if (hInternet) {
// ... use hInternet ...
netAPI->pInternetCloseHandle(hInternet);
}
}
delete netAPI;
})
```
3. 对所有重要的字符串字面量使用 `OBFUSCATE_STRING("your string")`。如需用于 API 调用，可通过其 `.c_str()` 方法访问解密后的字符串，或使用 `Obfusk8/Instrumentation/materialization/transform/AES8.hpp` 提供的其他方法（如 `.print_to_console()`）。
4. 使用 `STEALTH_API_OBFSTR("dll_name.dll", "FunctionNameA")` 进行直接的隐蔽式 API 调用，或者更推荐使用 API 包装类（例如 `K8_ProcessManipulationAPIs::ProcessAPI`、`k8_NetworkingAPIs::NetworkingAPI`）以获得便利性和内置隐蔽性。
5. 在代码中对性能不敏感的关键部分穿插使用 `OBF_BOGUS_FLOW_*`、`OBF_CALL_ANY_LOCAL_JUNK`、`NOP()` 和其他原语，以增加混淆层。
* 参见 main.cpp 文件。
### 构建
* **编译器要求**：该库面向 C++17 设计。主要面向 Microsoft C++ 编译器（`cl.exe`），尤其是针对 PE 节特性和 SEH 使用。
* **在 Windows 上获取 `cl.exe`（MSVC 编译器）**：
1. **安装 Visual Studio**：获取 `cl.exe` 最简单的方法是安装 Visual Studio。你可以从 [Visual Studio 网站](https://visualstudio.microsoft.com/downloads/) 免费下载 Visual Studio Community 版。
2. **选择工作负载**：安装期间，务必选择“使用 C++ 的桌面开发”工作负载。这将安装 C++ 编译器、Windows SDK 和其他必要工具。
3. **使用开发人员命令提示符**：安装后，在开始菜单中搜索“Developer Command Prompt for VS”（例如“x64 Native Tools Command Prompt for VS 2022”）并运行它。该命令提示符会自动设置使用 `cl.exe` 所需的环境变量（PATH、INCLUDE、LIB）。
* **包含路径**：
* 确保包含 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 的目录位于编译器的包含路径中。
* 如果 `Obfusk8/Instrumentation/materialization/transform/AES8.hpp`、`Obfusk8/Instrumentation/materialization/transform/Resolve8.hpp` 以及 API 包装器目录（例如 `k8_NetworkingAPIs/`）与 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 不在同一目录中，请确保其路径也已正确配置。`Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 对某些 API 包装器的内部包含使用类似 `../Obfusk8Core.hpp` 的相对路径，因此目录结构很重要。如果 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 位于该库的包含目录根目录，那么 API 包装器应位于 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 所期望的相对子目录（如 `k8_NetworkingAPIs/`）中，或者调整 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 内部的包含路径。
* **编译示例（使用开发人员命令提示符）**：
假设你的 `main.cpp` 和 Obfusk8 头文件结构正确，你可以使用类似以下命令进行编译：
```bash
cl /std:c++17 /EHsc main.cpp
```
* 打开 `x64 Native Tools Command Prompt for VS 2022` 后：
* `/std:c++17`：指定 C++17 标准。
* `/EHsc`：指定 C++ 异常处理模型。
* `main.cpp`：你的主源文件。
* `/I"path/to/your/obfusk8_includes"`：（可选，如果头文件不在默认路径中）添加包含 `Obfusk8/Instrumentation/materialization/state/Obfusk8Core.hpp` 及其依赖项的目录。如果它们位于子目录中，请确保 `Obfusk8Core.hpp` 内的相对路径与你的布局匹配。
* **关于库的说明**：虽然隐蔽式 API 解析旨在避免对被混淆函数进行静态链接，但 Windows SDK 头文件本身可能要求链接器提供某些 `.lib` 文件，以解析任何未混淆的 SDK 用法或内部类型（例如 `Ws2_32.lib`、`Wininet.lib`、`Advapi32.lib` 等）。对于像 `cl /std:c++17 /EHsc main.cpp` 这样的简单项目，如果这些是标准 Windows 库，链接器通常会自动解析它们。
* **CMAKE**：你也可以使用 cmake 构建 Obfusk8。
1. 克隆并进入仓库：`git clone https://github.com/x86byte/Obfusk8.git` 并进入目录 `cd Obfusk8`
2. 配置并生成文件：`cmake CMakeLists.txt`
3. 自动选择构建工具并编译：`cmake --build .`
* 打开 `x64 Native Tools Command Prompt for VS 2022` 后：
* **CMAKE && Microsoft Visual Studio**：
* 打开 `microsoft visual studio` 后，按 `Ctrl + B` 编译项目：
* **关于二进制体积与未来增强的考量**：
* **体积影响**：请注意，大量使用仅头文件混淆，尤其是内联垃圾代码、MBA 展开和扁平化控制流等技术，可能会导致最终二进制文件的体积显著增加。一个小程序可能会从几千字节增长到 2MB 甚至更多，具体取决于所应用的混淆强度。
* **自定义与加壳（未来方向）**：
* 目前，Obfusk8 专注于代码内混淆。如果二进制体积是关键约束，用户可能需要微调各种宏的使用（例如降低 `OBF_CALL_ANY_LOCAL_JUNK` 的密度或 `_main` 循环的复杂度）。
* 要在混淆后大幅减小体积，集成或使用外部 PE 加壳器（如 UPX、MPRESS 或自定义方案）将是单独的步骤。
* Obfusk8 的未来开发可以探索对混淆强度进行更细粒度控制的选项，甚至在库内直接集成轻量级加壳/压缩桩，尽管这会显著增加其复杂性。
### 构建后 PE 混淆
Obfusk8 包含一个构建后脚本，通过移除取证痕迹来进一步强化编译后的二进制文件。
* **脚本位置**：`Obfusk8/SCRIPTS/obfuscate_pe.ps1`
* **它的作用**：
1. **去除 Rich 头** — 移除泄露编译器版本和工具链详情的 MSVC 构建环境指纹。
2. **伪造 TimeDateStamp** — 将 PE 头时间戳替换为固定值，以掩盖构建时间。
3. **清除调试目录** — 擦除可能泄露 PDB 路径或构建元数据的调试目录条目。
* **用法**：
在编译后作为构建后步骤运行：
```powershell
PowerShell -NoProfile -ExecutionPolicy Bypass -File Obfusk8/SCRIPTS/obfuscate_pe.ps1 -Path "path\to\Obfusk8.exe"
```
该脚本会原地修改二进制文件，不会创建备份。
### 演示
[[Obfusk8：基于 C++17 的混淆库 - IDA Pro 图形视图] ~视频演示](https://youtu.be/B9g4KSg3tHQ)
### 贡献与反馈本项目Obfusk8是对先进C++混淆技术的持续探索。当前版本通过众多环环相扣的策略奠定了坚实的基础。
* **您的反馈弥足珍贵**：作为Obfusk8的开发者，我非常渴望了解您的观点、见解以及您可能拥有的任何反馈。无论是新功能建议、对现有技术的改进、针对受Obfusk8保护的代码的逆向工程尝试（成功或失败）报告，还是对该库易用性和有效性的总体看法。
* **贡献**：我们欢迎并高度赞赏所有贡献。本项目依靠社区输入和真实世界的测试来突破自我边界，成为更加强大的代码保护工具。请随时分享您的想法、提交issue，或为它的演进做出贡献！。
* **[如何为Obfusk8做贡献？](https://opensource.guide/how-to-contribute/)**
### 特别感谢
* [sadMosquito](https://github.com/sadMosquito) — 感谢其报告问题并测试本项目
**免责声明**
混淆只是防御的一层，并非万无一失的解决方案。拥有足够技能和时间的坚定攻击者通常能够对混淆代码进行逆向工程。Obfusk8旨在显著提高此类尝试的门槛。请与其他安全措施配合使用。
**保持联系**
如果您想分享反馈、讨论混淆技术、报告逆向工程尝试，或只是想进行技术交流，请随时直接联系我。我一直乐于进行建设性的对话与合作（我很乐意在混淆相关项目或其他任何方面展开合作）。
- x : https://x.com/x86byte
- telegram: https://t.me/x86byte
- discord: @x86byte