麻豆视频在线,97超碰资源站在线观看,欧美精品一区三区

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務,錦州廣廈維修電腦,公司IT外包服務

		設為首頁
		收藏本站

首頁

公司介紹

服務項目

服務報價

維修流程

IT外包服務

服務器維護

技術文章

常見故障

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務 → 技術文章

某安全SDK的ARM級VMP簡單分析

作者: 佚名日期:2017-06-30 20:16:50 來源: 本站整理

樣本來源于阿里安全SDK，APP為狼人殺，這個樣本并不算真正的VMP，但是有VM的影子，非常值得學習。

阿里安全SDK的libsgmainso-5.3.38.so提取方法:
解壓APP，定位lib目錄，找到libsgmain.so，該so實際是一個apk文件。將該apk解壓后，就能在lib目錄中找到真實SO。

樣本SO ELF文件節表有問題，IDA無法正常打開，進行簡單修復即可。

修復方法：
打開010 套模板，Elf32_Half e_shnum置0即可。

運作原理:

其中有一張表，該表記錄了opcode對應Handler的偏移地址。

Handler地址計算：
Vm_table 為該表起始地址。
Vm_base 為一個對齊地址等于Vm_table + 1
Offset = vm_table[opcode * 4]
HandlerAddr = offset + vm_base
Opcode字節碼不集中，采用指令鏈接形式把所有opcode串聯起來。

本文樣本的解析部分結果（手動計算）：
Op Handler
1D CF9D
1E D3B3
10 D264
2B D5F4
25 D4F0
2A D5CC
0C 01F8
29 .....
... ....
可以根據前面的公式自行寫一個腳本提取Opcode。

Op 鏈接例子：例如0x1E的Handler 0xD3B3中，在主要代碼執行后，有一條指令來設置下一條指令的Opcode 0x10。如圖：

所以，0x1E的下一條指令為0x10。

分析JNI_OnLoad 函數，單步一小會有如下風景：

我們可以在這里清晰的看到虛擬機入口和第一條指令設置的代碼以及VM相關的數據。

函數sub_8ccA0 為重要函數（忽略轉移代碼）

自行看注釋理解吧

熱門文章

機械革命S1 PRO－02 開機不顯示黑...

聯想ThinkPad NM-C641上電掉電點不...

三星一體激光打印機SCX－4521F維修...

通過串口命令查看EMMC擦寫次數和判...

IIS 8 開啟 GZIP壓縮來減少網絡請求...

索尼kd-49x7500e背光一半暗且閃爍 ...

圖解Windows 7系統快速共享打印機的...

報修電話：13840665804 QQ：174984393 (聯系人:毛先生)
E-Mail：174984393@qq.com
維修中心地址：錦州廣廈電腦城
ICP備案/許可證號：遼ICP備2023002984號-1
上門服務區域: 遼寧錦州市區
主要業務：修電腦,電腦修理,電腦維護,上門維修電腦,黑屏藍屏死機故障排除,無線上網設置,IT服務外包,局域網組建,ADSL共享上網,路由器設置,數據恢復,密碼破解,光盤刻錄制作等服務

技術支持:微軟等