-
-
[求助] VMProtect V1.70添加检测后如何分析？
-
发表于: 2019-7-1 03:49
-
如图VMProtect去掉所有保护和检测后，只加密其中的一个很简单的函数是没有问题的：
像这样程序入口点非常正常，可以跟踪到main然后进入401000这个函数看到虚拟机入口：
但是如果在选项上加上检测调试器或者虚拟环境的话马上就不对了，不是401000，而是整个程序从EntryPoint开始都被加密了：
如果直接执行然后根据检测弹窗的调用堆栈是这样子的：
整个EntryPoint都被加密了手动跟踪工作量实在是无法想象，而且分析不出来调用堆栈。请问一下各位大佬们有什么办法分析VMP检测调试器（或者说虚拟机）的流程吗？谢谢大家了
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2019-7-1 18:06
被wx_大方编辑
，原因：
|
|
|---|---|
|
|
|
|
|
我找了一天了，看到VMP的文章大多是讲解虚拟机的，我也都看懂了，但是检测的文章只看到过一篇VMCALL的，但是像上述那样从 EntryPoint开始加密的还无法栈回溯的还是毫无办法  ，实在是不知道怎么办了才来发帖子求助，谢谢大家了 。
|
|
|
|
|
|
嗯嗯谢了先收藏了。其实后来我找到了vmretn，把保护都过了。帖子不知道怎么删  就留在这了。
|
