-
-
[原创] 手动分析VMP加密的x64驱动导入表
-
发表于: 2019-1-4 15:51
-
VMP保护的导入表 会把FF 25 offset (call qword ptr[rip+offset])修改为E8 call
跟进去可以看到先保存了rdi，后面rdi会用于堆栈平衡以及修正返回地址
然后返回地址也就是+BE081 int 3那一行的地址被保存到rdi
rdi被加一之后又填充回返回地址，也就是让返回地址跳过int 3指向正确的BE082 test eax, eax那一行
跟进去可以看到先保存了rdi，后面rdi会用于堆栈平衡以及修正返回地址
然后返回地址也就是+BE081 int 3那一行的地址被保存到rdi
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-1-4 15:53
被hzqst编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我在之前的帖子里发过 |
|
|
|
|
|
|
|
|
|
|
|
|
