项目地址：https://github.com/0xlane/ollvm-rust

ollvm-pass

Out-of-tree llvm obfuscation pass，可在编译时对二进制进行混淆，通过 rustc/opt 动态加载使用，无需重新编译 llvm 和 rustc，支持以下混淆方式：

• 间接跳转,并加密跳转目标(-irobf-indbr)
• 间接函数调用,并加密目标函数地址(-irobf-icall)
• 间接全局变量引用,并加密变量地址(-irobf-indgv)
• 字符串(c string)加密功能(-irobf-cse) （rust 中不生效，已知问题）
• 过程相关控制流平坦混淆(-irobf-cff)
• 全部 (-irobf-indbr -irobf-icall -irobf-indgv -irobf-cse -irobf-cff)

混淆插件提取自 Arkari 项目。

注意：该项目当前仅在 windows x86 下测试，其他平台未测试

rust 动态加载

动态加载 llvm pass 插件需切换到 nightly 通道（Allow loading of LLVM plugins [when dynamically built rust]）：

生成一个示例项目，通过 -Zllvm-plugins 参数加载 pass 插件，并通过 -Cpasses 参数指定混淆开关：

opt 动态加载

x86 msvc pass 编译方法

环境

• Windows 11 (10.0.22631.3737)
• Visual Studio 2022 (17.10.3)
  • 使用 C++ 的桌面开发
• LLVM 18.1.5

编译

需在 x64 Native Tools Command Prompt for VS 2022 环境中执行，从开始菜单或者执行 cmd.exe /k "C:\Program Files\Microsoft Visual Studio\2022\Community\Common7\Tools\VsDevCmd.bat" -startdir=none -arch=x64 -host_arch=x64 进入：

LT_LLVM_INSTALL_DIR 需指定为自己的 LLVM 安装路径

参考

• Allow loading of LLVM plugins [when dynamically built rust]
• Installing from Source
• rustc dev guide
• Windows rust使用LLVM pass
• Orust Mimikatz Bypass Kaspersky
• Building LLVM with CMake
• llvm-tutor
• String encryption failed

感谢

• Arkari