-
-
[原创]VMP早期版本逆向还原文档(带完整引擎源码)(更新终章的一半)
-
发表于: 2012-8-28 15:10
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看看
|
|
|
|
|
|
|
|
|
|
|
|
我很无语...,神人
 --------------------------------- 看ZVM.doc的顺序,最好从"7.还原核心 – VM指令层.",DEP(网页的红字)很重要!大概是22页开始,如果你跟我一样是边看边对照的话,一遍看完远远不够... --------------------------------- 理论上zvm只要自己推算出vmp新版本的膨胀的规则,写出对应的pack,替换掉**pack**.cpp,就能做的压缩新版本的vmp了... 同理,x86tovm,vmachine,vmtox86的规则也可以替换更新的... 因为zvm自己会扫描zvm.exe的导出表,然后自己添加规则,相信看过代码的人都懂的  lz写的反汇编部分和这些规则联系太紧密了,改的人也要不停翻intel manual哟... 真是变态的vmp啊...vmp的作者怎么还没疯掉... |
|
|
|
|
|
mark
|
|
|
|
|
|
|
