Golang二进制文件混淆保护

Posted 2021-04-25 GoCN

Go实在是太棒了。一处编译，处处运行，没有依赖，毫无麻烦！
不过麻烦的事情来了。我们写一个程序，就是想在别人的电脑上运行的。然而，Go语言的默认机制，会泄漏我们的一些信息，虽然不多，但也有点尴尬。本文结合网上的一些常用方法，总结出一套通用的简单易行的保护措施。

删除调试符号

默认情况下go编译出的程序在运行出错时会输出自己在哪个线程哪个文件哪个函数哪行出的错，就像这样，

图片来源StackOverflow

DWARF信息对于小黑客们可是如获至宝，这些关键信息不能留下。而且去掉这些东西也非常简单：

go build -ldflags "-s -w” [<your/package]

（需要Go版本大于1.7）

这里的 -ldflags 参数最终会在 go tool link 的时候传给它， go tool link -h解释如下

...
  -s    disable symbol table
  -w    disable DWARF generation

删除掉调试符号的另一个好处就是，显著减小了文件大小（平均20%）

-rwxr-xr-x 1 tim staff 1636736 May 5 11:59 bin/hello  <- 标准编译
-rwxr-xr-x 1 tim staff 1190272 May 5 11:59 hello      <- stripped

再加一个UPX壳，还可以压缩到原文件大小的五分之一！不知道为啥，go语言的二进制特别好压！

删除trace文件信息

在go中触发 panic 时，上图的文件目录也是泄漏信息的一部分。比如上图就包括了小黑客用的操作系统（Linux），小黑客的名字（nikos），如果你用homebrew版本的Go还会泄漏你的编译器版本。所以这些当然也要删掉！
这些信息的来源是编译器运行时所处环境的环境变量。
上图中的函数编译时，环境变量就是这样。

GOROOT=/opt/goGOPATH=/home/nikos/projects/goGOROOT_FINAL=$GOROOT

这几个都是可以改的哦。根据参考资料，编译时GO会从$GOPATH寻找我们自己的代码，从$GOROOT提取标准库，在打包时将GOROOT改写为GOROOT_FINAL并作为trace信息的一部分写入目标文件。改写$GOPATH的方式也很简单，在一个不起眼的目录里对真实的GOPATH创建一个软链接（快捷方式），编译器在寻找时就会把快捷方式的目录名写到最终文件里，从而达到我们隐藏自己的目的。

话不多说，上代码。放到自己的.bash_profile或.zshrc中即可

ACTUAL_GOPATH="~/Programming/go"
 export GOPATH='/tmp/go'
 export GOROOT_FINAL=$GOPATH
 [ ! -d $GOPATH ] && ln -s "$ACTUAL_GOPATH" "$GOPATH"
 [[ ! $PATH =~ $GOPATH ]] && export PATH=$PATH:$GOPATH/bin

我个人把GOROOT_FINAL也写入为GOPATH，其实这个字符串可以是任意值，但写成一样的话，可以让逆向人员无法分辨，调用的库是我们自己写的还是go语言的标准库。非常猥琐哦～

这样一来，生成的二进制文件就相当于其他语言编译时的Release版本了。再发散一下，自己写一个库，将关键的字符串做成外部资源并在调用时解密，代码中不保留明文，再破解就只能人肉跟踪函数了。满分！

参考资料

• How to reduce compiled file size?

• Shrink your Go binaries with this one weird trick
  

• cmd/link: delete source file path info in panic‘s stack trace for production releases · Issue #13809 · golang/go