-
-
[讨论]某安全SDK的ARM级VMP简单分析
-
发表于: 2017-6-29 03:06
-
样本来源于阿里安全SDK，APP为狼人杀，这个样本并不算真正的VMP，但是有VM的影子，非常值得学习。
阿里安全SDK的libsgmainso-5.3.38.so提取方法:
解压APP，定位lib目录，找到libsgmain.so，该so实际是一个apk文件。将该apk解压后，就能在lib目录中找到真实SO。
样本SO ELF文件节表有问题，IDA无法正常打开，进行简单修复即可。
修复方法：
打开010 套模板，Elf32_Half e_shnum置0即可。
运作原理:
其中有一张表，该表记录了opcode对应Handler的偏移地址。
Handler地址计算：
Vm_table 为该表起始地址。
Vm_base 为一个对齐地址等于Vm_table + 1
Offset = vm_table[opcode * 4]
HandlerAddr = offset + vm_base
Opcode字节码不集中，采用指令链接形式把所有opcode串联起来。
本文样本的解析部分结果（手动计算）：
Op Handler
1D CF9D
1E D3B3
10 D264
2B D5F4
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
imcczy
