-
-
[分享]VMPDebugger 调试器（2.16更新）
-
发表于: 2010-12-21 16:34
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
热泪期盼啊
 另外看到飘云也来了，不知是否PYG的阁老？ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
在对虚拟机指令流进行反汇编后，如果没有经验，仍然很难阅读。程序如果要进行自动还原，需要进行多级中间语言转化。我现在的转化方式比较拙劣，原理大致是这样的：
1.首先用 EqualReplace 函数对指令块进行等价变化，例如，将 push r1 push esp read dword mem 等价转化成 push r1 push r1 nop 将 push xxx pop r32 等价转化成 r32=xxx 2.然后，用Search_nand_add函数搜索指令块中的基本元素块，例如，将 push xxx push yyy nand pop r32 转化成 push nand(xxx,yyy)#r32=EFLAGS# 3. 对上述2步进行循环操作，直到不能转化为止，程序代码： void CVMInstParse::Parse()
{
while(1)
{
EqualReplace();
if(Search_nand_add() <= 0)
{
break;
}
}
Print();
}
下图中的例子是生成的中间语言，这个中间语言还需要进一步简化 
|
|
|
下面那段原来是复制字符串 "kernel32.dll", 终于能够看懂了
 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我等着成品~~~ |
