iOS逆向- Hikari混淆及还原

一.介绍

Hikari 是一个基于 LLVM 的代码混淆器（Obfuscator），主要用于保护 C/C++/Objective-C 等语言的二进制代码，防止逆向工程和破解。它通过在 LLVM 编译器框架中注入自定义 Pass（优化通道），对中间表示（IR）进行变换，从而增加代码的复杂度和分析难度。Hikari 的设计灵感来源于 Obfuscator-LLVM，但添加了更多自定义 Pass，并优化了稳定性。

历史与背景

起源：Hikari 是由开发者 Naville 在 2017 年圣诞节期间的“黑客马拉松式玩具项目”开发的，名字来源于日语中的“光”（Light），灵感来自任天堂 Switch 游戏《异度神剑 2》（Xenoblade Chronicles 2）。最初基于 LLVM 6.0 版本，并已足够稳定，可用于生产环境。
发展：原项目已于 LLVM 8 版本后停止积极维护（最后更新于 2023 年 1 月），开发者建议用户转向商业支持的实现或活跃维护的分支，如 NeHyci/Hikari-LLVM15（支持 LLVM 15）或 PPKunOfficial/Hikari-LLVM19（支持 LLVM 19）。这些 fork 修复了兼容性问题，并扩展了对新 LLVM 版本的支持。
开源性质：项目托管在 GitHub 上（原仓库：HikariObfuscator/Hikari），采用开源许可，但开发者警告开源混淆器可能泄露模式给破解者，尽管 Hikari 已尽量减少此类问题。

Hikari 支持的混淆标记

-mllvm -enable-bcfobf

Bogus Control Flow（伪控制流）

在每个基本块中插入大量虚假条件分支和 junk code（运行时永远不会走到）。

支持概率控制：-mllvm -bcf_prob=80（0~100，建议 70~100）
-mllvm -enable-fco 或 -mllvm -enable-cffobf

Control Flow Flattening（控制流平坦化）

将函数内所有基本块打散，改写成一个无限循环 + 大 switch 的调度器结构。
-mllvm -enable-indibran

Indirect Branching（间接分支/寄存器相对跳转）

把所有直接跳转（br label %xx）替换成 indirectbr 指令，跳转目标通过寄存器在运行时动态计算。

与控制流平坦化叠加后，IDA 的 F5 基本完全失效，显示为一大片无法解析的代码。
-mllvm -enable-strcry

String Encryption（字符串常量加密）

自动加密所有全局/局部常量字符串，二进制中看到的都是密文，运行时由插入的解密 stub 实时解密。

有效防止 strings、grep、FLAIR 签名匹配等静态提取。
-mllvm -enable-sub 或 -mllvm -enable-subobf

Instruction Substitution（指令替换）

把简单的算术/逻辑指令替换成功能等价但更复杂的表达式序列，例如：

a + b → (a ^ b) + 2*(a & b)

支持概率控制：-mllvm -sub_prob=80
-mllvm -enable-split 或 -mllvm -enable-splitobf

Basic Block Splitting（基本块拆分）

把原本连续的大基本块强行切成多个小块，并插入无意义跳转或 opaque predicate，进一步膨胀控制流图。

支持概率控制：-mllvm -split_prob=70（建议不要 100%，否则体积膨胀严重）