0


VMProtect虚拟机保护及还原

虚拟机保护技术

原理:虚拟机保护代码技术是将X86汇编指令转为字节码指令,并且通过字节设计的解释器去执行字节码指令的一项技术,以达到保护原有指令不被轻易逆向和篡改。

VS****tartVM:虚拟机的入口,主要作用是进入虚拟机,将真实CPU的寄存器信息保存到堆栈,以便于执行虚拟机指令时,访问寄存器信息。

VMD****ispacther:虚拟机指令调度器,主要作用是获取虚拟机指令(字节码),判断之后执行对应指令。

H****andler:虚拟机指令的执行函数。

VMware虚拟机保护的特征:

PUSH XXXX

CALL XXXX

Themida****保护的特征:

PUSH XXXX

JMP XXXX

使用VMProtect**保护代码(HelloASM)**

1、打开VMProtect

2、右键,新建流程:

3、操作三行指令,选择流程末尾:

4、直接加壳:

5、使用OD打开,对比加壳之前的代码

加壳前:

加壳后:

使用IDA查看加壳后的程序

还原:

程序入口:

开始的寄存器和堆栈:

单步进入CALL,右键:

单步跟踪,进入虚拟机,进行分析:

退出虚拟机时,堆栈及寄存器:

相比进入之前,ESP减了8,压入了字符串地址:0x403000、printf地址:0x00405782

指令:

push 0x403000

call [0x402004]

第二次进入虚拟机之前,寄存器及堆栈环境:

虚拟机中的操作:

退出虚拟机后:

相比进入之前,ESP加了4

指令:add esp,0x4

所以,保护的指令是:

push 0x403000

call [0x402004]

add esp,0x4

总结:观察进入和退出前后,寄存器和堆栈发生的变化,结合虚拟机指令,推出等价的指令,进行还原

标签: 安全 网络安全

本文转载自: https://blog.csdn.net/ZK_1874/article/details/129907488
版权归原作者 K_BLACKHOLE 所有, 如有侵权,请联系我们删除。

“VMProtect虚拟机保护及还原”的评论:

还没有评论