-
-
[原创]通过编译优化进行VMP代码还原
-
发表于: 2017-5-13 14:40
-
0x00 写在前面
如x86的一条指令如mov eax, [ebp+0x100]，转化为VMP伪代码会变成类似如下的代码：
3. VMP版本更新，膨胀规则可能会稍有变化，工具通用性会非常差，必须持续跟踪不同版本。
对于CISC指令集虚拟机的还原难度会有一定的降低（但也很难），已有的工作可以参考DeathWay的Oreans UnVirtualizer OD插件（http://bbs.pediy.com/thread-192434.htm），对早期Themida\Code Virtualizer的CISC机可以做到很好的代码还原，还原出的指令基本和原始指令一致，非常优秀的工作！
其他还有Zeus、VMSweeper、OoWoodOne插件等等不多介绍。
VirtualDeobfuscator：某年blackhat上的议题 （https://github.com/jnraber/VirtualDeobfuscator Blackhat视频：https://www.youtube.com/watch?v=hoda99l5y_g ） 这个工具是通过化简trace除去虚拟机的逻辑，然后留下指令的逻辑方便分析。思路很清奇。不过我测试对VMP效果一般。按文章描述对CISC指令集似乎效果会好一些。
好了，这就确定了我的目标：将VMP伪代码还原成语义等价易读的代码（如汇编或者C代码）。
同时因为自己代码能力有限且时间有限，在保证目标的前提下我希望尽量降低开发难度。
这就需要将VMP伪代码转化成常见编译器（gcc、clang）能处理的形式。首先想到的是LLVM，但开发过程用到LLVM相关的库，开发和调试都比较困难，后来直接利用C作为中间代码进行转化。
用我们的方法变成C语言，伪指令会变成C代码：
这是超级简化例子，实际C代码 a = b在编译的时候会涉及栈变量的读写，比如可能变成
用C语言的宏表示如下：
这个时候又能展示编译器的强大优化能力了，如果编译如下C代码
使用gcc -O3编译优化，得到的结果程序拖到IDA中可以得到如下的伪代码
使用clang -O3编译优化，效果如下。
如果采用传统的规则匹配来化简NOR逻辑，则需要加入很多对应的匹配规则。而如果某一天这些规则发生变化，则又需要修改匹配规则。当使用编译器来化简，问题就变得简单了许多。
0x02 实现
4. 结果文件放到IDA中还原回C代码。
提取伪代码这一块前面的工作已经比较成熟，不再花时间造轮子了。直接使用VMP分析插件v1.4进行提取，伪代码格式类似如下：
如vAdd4转化成如下代码
其他具体细节还有很多，这里不多介绍，有兴趣的可以留言联系进行深入交流。
all_op2.gcc在IDA中反编译的结果：
可以神奇的发现主要代码逻辑已经被清晰的还原出来了。
要注意到代码中是包含数组访问的、同时还有与、或等逻辑运算，都较好的还原了出来。
为了不占用页面不贴汇编代码了，汇编代码可以自己看附件中的程序。
可以看到前面的示例中是不含条件和循环的。因为VMP处理跳转和条件跳转的时候会将这些直接跳转全部转化为间接跳转。以条件跳转为例，VMP会先将两个跳转的地址压处栈中，再根据比如的flag计算值决定使用哪个地址作为跳转目标。这一部分很难直接利用编译器进行优化。 目前还没有想到太好的解决方法。
汇编上表示如下：
VMP表示如下：
比如
可以看到前面的例子中原始代码是不含局部变量的，也就是不含sub esp类的指令的。
由于虚拟栈作为了局部变量数组，这种方法编译生成的汇编码比较冗长，也难以阅读，不过不影响IDA的反编译。
IDA反编译时似乎也会进行简单的优化，因此显示效果还不错。
受方法本质的限制，是不能恢复出和原始代码一模一样的汇编的，也不能运行。但代码逻辑是基本一致的。
这里说一下私心，之所以敢于在方法和工具不成型的时候就提前把方法分享出来。是希望有感兴趣的和懂VMP的大牛指点一下。论坛上有很多前辈在这方面研究十分深入，经验丰富。这个方法算是拍脑袋想到的方法，存在不少问题。希望大牛们对提到的几个问题有什么改进的思路，或者发现了其他可能存在的问题，都麻烦留言不吝赐教。（尤其是前面提到间接跳转问题，让我十分头疼。如果大大们有好的想法，请一定留言指教）
测试程序放在附件里，如果有感兴趣的，请务必留言联系。
多谢各位。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
是的 我就是看到那个神器用这种方法效果很好，就想着能不能直接使用编译器将伪代码化简，也就有了这个贴子。 不知道VMP分析1.4的开发者现在还上不上看雪，很想和他交流一下 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看来随着时间的推移VMP还原的方法不在是密密了
|
|
|
|
|
|
|
|
|
我用VMSweeper总是会失败 不知道什么情况。。 你是用的VMSweeper还原的哪个版本的VMP？ 如果能提供下样本是最好了 
|
|
|
|
|
|
|
|
|
|
|
|
我尝试了1.7 2.04 2.09 的最快速度保护下的VMP（默认是不加壳的） VMSweeper 都不能正常工作。。 层主能直接发个可以分析的VMP样本上来么 我对VMSweeper还原的方法还是挺感兴趣的 之前看雪有贴子讲过工作原理 不过讲的不太详细 尤其是代码还原这块 层主发的链接因为没注册过这个论坛无权访问  方便复制点关键内容么
|
|
|
不会吧..老板是不是插件用错了... 给我个样本 我试试..我就是自己随便写的EXE 然后用VMP 2.13.5加密的.VMP 2.09 我也用过.可以啊..没理由啊.
|
