-
-
[求助][讨论]脱VMP 猛壳
-
发表于: 2013-7-3 10:27
-
od用插件脱VMP。
脱壳之前
脱壳之后
插件脱壳后可以运行，现在的问题是：
1.脱壳后是否还有另外的壳？
2.脱壳后如果没有其他的壳，那么VMP0，VMP1那两个区段是否可以删除？
3..ximo 这个新增的区段是什么？
4.脱壳后体积增大，如何去除VMP壳代码缩小体积。
M为带壳文件。
De_M为脱壳后文件。
http://pan.baidu.com/share/link?shareid=1710741091&uk=53548759
脱壳之前
脱壳之后
插件脱壳后可以运行，现在的问题是：
1.脱壳后是否还有另外的壳？
2.脱壳后如果没有其他的壳，那么VMP0，VMP1那两个区段是否可以删除？
3..ximo 这个新增的区段是什么？
4.脱壳后体积增大，如何去除VMP壳代码缩小体积。
M为带壳文件。
De_M为脱壳后文件。
http://pan.baidu.com/share/link?shareid=1710741091&uk=53548759
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
 谢谢，你把我的四个问题都给回复了。而且解释的很清楚。第四个问题应该是在删除了VMP0，VMP1基础后，文件体积就应该缩小了。追问一下删除VMP0，VMP1的工具，方法。我试着删除但是发生错误了。一定是我做的方法不对。 希望前辈能继续帮助。 |
|
|
|
|
|
|
|
|
|
|
|
你不认识的一大堆指令就是VM
|
|
|
|
|
|
完整还原代码，我做不到，简单的算法被 vm 了，可以还原为意思相同的代码（能力有限
）
|
|
|
|
|
|
|
|
|
mov指令不影响任何eflag
xor直接将of cf清零，inc 也会对应的改变标志位。 对于虚拟机来说，这倆能一样吗
|
|
|
......
仅仅是举个例子 代表 都是把EAX赋1
|
|
|
|
