有效的“虚假死代码”插入点是CPU可解码但永不执行的合法指令序列，需满足不改寄存器/标志、不触发异常、不污染栈帧，且保留在可执行段中；须用__attribute__((used, section(".text.junk")))强制保留，禁用__builtin_unreachable()，优选if(0){asm;}或死条件分支内嵌入，避免被strip或触发防护。
什么是二进制中有效的“虚假死代码”插入点
反汇编器（如 IDA、Ghidra）依赖指令流的线性或递归下降解析，一旦遇到非对齐跳转、未对齐数据嵌入、或被控制流绕过的冗余指令，就可能错判后续字节的指令边界。真正起干扰作用的不是“任意垃圾字节”，而是CPU 可解码但永不执行的合法指令序列——它们必须满足：不改变寄存器/标志位（或可被后续指令抵消）、不触发异常、不污染栈帧、且被编译器/链接器保留为可执行段内容。
用 GCC/Clang 的 __attribute__((used)) + 内联汇编插入对齐敏感 junk
直接写裸字节（如 .byte 0x90,0x66,0x90）容易被链接器 strip 或导致段权限问题；更可靠的方式是让编译器生成真实指令，并用属性强制保留：
__attribute__((used, section(".text.junk"))) static void _junk_1() {
asm volatile (
"nop\n\t" // 0x90
"xchg %ax, %ax\n\t" // 0x66,0x90 —— 16-bit NOP，长度2字节，影响后续指令对齐
"mov %rax, %rax\n\t" // 0x48,0x89,0xc0 —— 无副作用的寄存器自赋值
"pushq $0x12345678\n\t" // 0x68,0x78,0x56,0x34,0x12 —— 推入常量后立刻 pop 才安全，否则破坏栈
::: "rax"
);
}
关键点：
- 必须加
section(".text.junk")并确保该段有READ|EXEC权限（链接脚本或-Wl,-z,separate-code配合） - 避免使用
call、jmp、ret等改变控制流的指令——它们可能被静态分析误标为函数入口 - 若需多字节填充，优先选
xchg %ax,%ax（2 字节）、nop DWORD PTR [rax+rax*1+0x0]（7 字节），而非连续nop（易被优化或识别为 padding）
为什么 __builtin_unreachable() 不适合做 junk 插入
它会告诉编译器“此路径永不可达”，导致 GCC/Clang 直接删除后续所有指令（包括你写的汇编），甚至移除整个函数体。现象是：源码写了 junk，但 objdump 里完全看不到对应字节。真正需要的是“可达但永不跳入”的代码块，而不是“编译期就删掉”的标记。
立即学习“C++免费学习笔记（深入）”；
正确替代方案：
- 用
if (0) { asm volatile ("..."); }—— 编译器保留 asm 块（GCC ≥10 默认行为），且不生成跳转逻辑 - 在函数末尾插入带条件跳过的块：
if (__builtin_constant_p(0) && 0) goto skip; asm("..."); skip: - 绝对不要依赖
#pragma optimize("",off)—— 它只影响 C 逻辑，对内联汇编无效
Windows PE 下用 .data 段注入 junk 的风险
把 junk 放进 .data 段再用 VirtualProtect 设为可执行，看似灵活，但实际极易失败：
- ASLR + DEP 组合下，
.data默认不可执行，运行时改权限会触发 ETW/AV 告警 - Ghidra 仍能通过交叉引用定位到该地址，然后反汇编整块——junk 反而成了显眼的特征
- 更隐蔽的做法是：在合法函数的 prologue 后、real logic 前，插入
test %rsp,%rsp; jz real_start这类永远不跳的条件分支，再把 junk 塞进跳转目标处（即 dead branch 中）
最麻烦的从来不是插多少 junk，而是确保它不被 strip、不触发运行时防护、且让反汇编器在某个具体 offset 上开始错乱——这需要针对目标反汇编器版本做字节级对齐测试，比如 IDA 7.6 对 0x66,0x90,0x90 的解析就和 Ghidra 10.3 不同。
