国产秀色在线www免费观看,999精品视频在线观看,日韩精品第一页

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務,錦州廣廈維修電腦,公司IT外包服務

		設為首頁
		收藏本站

首頁

公司介紹

服務項目

服務報價

維修流程

IT外包服務

服務器維護

技術文章

常見故障

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務 → 技術文章

VMProtect 3.09 虛擬機架構淺析

作者: 不詳日期:2017-03-15 18:32:47 來源: 轉載

0x00 寫在前面
最近兩周一直在研究VMProtect相關的東西，發現VMProtect 2.x 被研究的比較充分，FKVMP、Zeus、VMP分析插件1.4等神器也出來了很久。但VMProtect 3 沒有在論壇內找到相關的資料，這里寫一點簡單分析作為拋磚引玉之用。新人第一貼，求論壇的大大們多多鼓勵。

根據官方公告，VMProtect 3使用了新的虛擬機架構，本文通過分析自己加虛擬化的簡單程序，介紹一下VMProtect 3虛擬機的基本架構，并與VMProtect 2.x進行簡單對比。
這里強調一下，本貼只介紹虛擬機架構方面的內容，關于脫殼、IAT恢復、過anti等等請參考其他大佬的文章。

0x01 初步分析
分析的樣本是用MASM32編寫的小程序，源代碼如下：

使用VMProtect 1.81 demo版本對main函數（地址0x40100C）加虛擬化，最快速度，關掉一切其他保護。

這里之所以使用 1.81 demo這么低的版本，主要原因是該版本VMP中的虛擬機代碼沒有混淆，生成的bytecode也比較規則，沒有2.x版本的冗余分支，同時又能被VMP分析插件1.4完美支持，因此非常適合拿來學習VMP虛擬機結構。
加密后文件大小5.00 KB (5,120 字節)

再使用VMProtect 2.12.3版本加虛擬化，選項相同，關掉所有保護。
加密后文件大小15.0 KB (15,360 字節)

再使用論壇的VMProtect 3.09版本加虛擬化，選項相同，關掉所有保護。
加密后文件大小516 KB (528,896 字節)

可見VMProtect 3.x版本加密后的代碼量有非常大的變化，注意這里關掉了所有保護選項的情況，因此這些多出來的代碼不是殼代碼，也不是調試器檢測的代碼，就是實實在在虛擬化后的指令。
這么為什么會多出這么多，這里簡單分析一下。

需要用到OD的追蹤功能（很好用的功能，但大家經常忽略掉他）
OD分別打開兩個文件，Ctrl+F11 跟蹤步入，64位電腦先將ntdll.dll和kernel32.dll標記為系統DLL，避免記錄到trace中。
跟蹤完成后分析兩個程序產生trace的區別。

console.vmp_1.81_demo.exe 生成527條trace
用OD統計下指令數（注意在選項中關掉統計時將相鄰指令合并的選項），前幾條是這樣

0x04 寫在最后

從今年2月分開始的連續幾個月時間可能都要研究虛擬機保護相關的內容，因此也會陸續發些心得筆記上來。
這里希望論壇大大們可以給些指點，好少走點彎路。
也希望其他壇友們能多多回帖討論。

熱門文章

機械革命S1 PRO－02 開機不顯示黑...

聯想ThinkPad NM-C641上電掉電點不...

三星一體激光打印機SCX－4521F維修...

通過串口命令查看EMMC擦寫次數和判...

IIS 8 開啟 GZIP壓縮來減少網絡請求...

索尼kd-49x7500e背光一半暗且閃爍 ...

圖解Windows 7系統快速共享打印機的...

報修電話：13840665804 QQ：174984393 (聯系人:毛先生)
E-Mail：174984393@qq.com
維修中心地址：錦州廣廈電腦城
ICP備案/許可證號：遼ICP備2023002984號-1
上門服務區域: 遼寧錦州市區
主要業務：修電腦,電腦修理,電腦維護,上門維修電腦,黑屏藍屏死機故障排除,無線上網設置,IT服務外包,局域網組建,ADSL共享上網,路由器設置,數據恢復,密碼破解,光盤刻錄制作等服務

技術支持:微軟等