[原创] VMP3 的 jcc 简单分析及可能应用-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创] VMP3 的 jcc 简单分析及可能应用

发表于: 2019-11-3 12:01 7836

[原创] VMP3 的 jcc 简单分析及可能应用

yiivon

2019-11-3 12:01

7836

直接引码：

	for (int i = 0; i < 4; i++) {
01222056  mov         dword ptr [ebp-4],0  // # var i
0122205D  jmp         fun_pickup_from_map+28h (01222068h)  
0122205F  mov         eax,dword ptr [ebp-4]  // refer i
01222062  add         eax,1  // i++
01222065  mov         dword ptr [ebp-4],eax  
01222068  cmp         dword ptr [ebp-4],4  // # cmp i, 4
0122206C  jge         fun_pickup_from_map+57h (01222097h)  
    // ...
	}

以下对应VMP3的虚拟指令：

	for (int i = 0; i < 4; i++) {
01222056  mov         dword ptr [ebp-4],0  // # var i
0122205D  jmp         fun_pickup_from_map+28h (01222068h)  
0122205F  mov         eax,dword ptr [ebp-4]  // refer i
01222062  add         eax,1  // i++
01222065  mov         dword ptr [ebp-4],eax  
01222068  cmp         dword ptr [ebp-4],4  // # cmp i, 4
0122206C  jge         fun_pickup_from_map+57h (01222097h)  
    // ...
	}

以下对应VMP3的虚拟指令：

# i = 0
0087 006A6ED1 vAdd4 0018FEDC <- FFFFFFFC, <ebp>0018FEE0
0088 00688494 vPopReg4 [004] <- 00000203
0089 007416A8 vReadMemSs4 [0018FEDC] -> 00000000

# cmp i, 4

# ~i
0090 0052FDC6 vPushEsp4 0018FE82
0091 0073A93F vReadMemSs4 [0018FE82] -> 00000000
0092 005EEFA2 vNand4 FFFFFFFF <- 00000000, 00000000
0093 006B7196 vPopReg4 [010] <- 00000286
# ~i + 4
0094 0072EEBE vAdd4 00000003 <- FFFFFFFF, 00000004
0095 006C187D vPopReg4 [010] <- 00000217
# ~(~i + 4) => i - 4
0096 00560EEB vPushEsp4 0018FE86
0097 005AC9B3 vReadMemSs4 [0018FE86] -> 00000003
0098 0067C7EB vNor4 FFFFFFFC <- 00000003, 00000003
0099 004FF4B9 vPopReg4 [018] <- 00000286
0100 0071E4FC vPopReg4 [024] <- FFFFFFFC

# f1 = eflags of ~i + 4
0101 00519664 vPushReg4 [010] 00000217
0102 006A846B vPushImm4 2E7D332F
0103 0067C969 vPushImm4 004AB24C
0104 0064EFA4 vReadMemSs4 [004AB24C] -> D182D4E6
# NOTE: 0x815 
0105 005C6201 vAdd4 00000815 <- D182D4E6, 2E7D332F
0106 00639539 vPopReg4 [01C] <- 00000213
0107 006D4743 vNand4 FFFFFFEA <- 00000815, 00000217
0108 00531E52 vPopReg4 [024] <- 00000282
0109 00645F27 vPushEsp4 0018FE86
0110 005ED537 vReadMemSs4 [0018FE86] -> FFFFFFEA
0111 00510455 vNor4 00000015 <- FFFFFFEA, FFFFFFEA
0112 005919C4 vPopReg4 [008] <- 00000202

# f2 = eflags of ~(~i + 4)
0113 005188E3 vPushReg4 [018] 00000286

0114 00700BC1 vPushImm4 BEC22E73
0115 0073CFF4 vPushImm4 004AB250
0116 004E3333 vReadMemSs4 [004AB250] -> 413DC977
0117 0057E963 vAdd4 FFFFF7EA <- 413DC977, BEC22E73
0118 00551056 vPopReg4 [004] <- 00000282
# NOTE: FFFFF7EA == ~0x815
0119 0052C370 vNand4 FFFFFD7D <- FFFFF7EA, 00000286
0120 006519B6 vPopReg4 [020] <- 00000286
0121 004AE960 vPushEsp4 0018FE82
0122 00675D8B vReadMemSs4 [0018FE82] -> FFFFFD7D
0123 004F6BCA vNor4 00000282 <- FFFFFD7D, FFFFFD7D
0124 00523E4C vPopReg4 [020] <- 00000206

# => eflags =  (f1 & 0x815) + (f2 & ~0x815)
0125 0055A32C vAdd4 00000297 <- 00000282, 00000015
0126 00688494 vPopReg4 [030] <- 00000202
0127 006B7196 vPopReg4 [030] <- 00000297
0128 006C187D vPopReg4 [024] <- 00000207

0129 004FBD09 vPushReg4 [030] 00000297
0130 006B2A12 vPushReg4 [030] 00000297
0131 00525C60 vNand4 FFFFFD68 <- 00000297, 00000297
0132 004FF4B9 vPopReg4 [004] <- 00000282
0133 005A067A vPushImm4 57A4C945
0134 005A793D vPushImm4 004AB256
0135 00617E7D vReadMemSs4 [004AB256] -> A85B363A
0136 006FBCFE vAdd4 FFFFFF7F <- A85B363A, 57A4C945
0137 0071E4FC vPopReg4 [010] <- 00000282

# a = eflags & SF
0138 004AEAD6 vNor4 00000080 <- FFFFFF7F, FFFFFD68
0139 00639539 vPopReg4 [024] <- 00000202
0140 00531E52 vPopReg4 [004] <- 00000080

0141 004E4FCE vPushReg4 [030] 00000297
0142 005147F9 vPushImm4 673258CD
0143 0072A795 vPushImm4 004AB25A
0144 006E9C8F vReadMemSs4 [004AB25A] -> 98CDAF33
0145 0076946A vAdd4 00000800 <- 98CDAF33, 673258CD
0146 005919C4 vPopReg4 [01C] <- 00000217

# b = eflags & OF
0147 0052FBE7 vNand4 FFFFFFFF <- 00000800, 00000297
0148 00551056 vPopReg4 [010] <- 00000286
0149 0066B4C7 vPushEsp4 0018FE8A
0150 0053AA78 vReadMemSs4 [0018FE8A] -> FFFFFFFF
0151 004EECA7 vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0152 006519B6 vPopReg4 [01C] <- 00000246
0153 00523E4C vPopReg4 [010] <- 00000000


0154 006FA614 vPushReg4 [024] 00000202
0155 005626A0 vPushReg4 [024] 00000202
0156 0072F738 vNand4 FFFFFDFD <- 00000202, 00000202
0157 00688494 vPopReg4 [008] <- 00000282

0158 005CC9A6 vPushReg4 [01C] 00000246
0159 00595AA8 vPushReg4 [01C] 00000246
0160 0065994B vNor4 FFFFFDB9 <- 00000246, 00000246
0161 006B7196 vPopReg4 [010] <- 00000282

# c = a_eflags & b_eflags 
0162 005582AF vNor4 00000202 <- FFFFFDB9, FFFFFDFD
0163 006C187D vPopReg4 [010] <- 00000202

# d = ~a_eflags & ~b_eflags 
0164 006FD628 vPushReg4 [024] 00000202
0165 005B5F3B vPushReg4 [01C] 00000246
0166 0050A804 vNor4 FFFFFDB9 <- 00000246, 00000202
0167 004FF4B9 vPopReg4 [004] <- 00000282

# e = nor(c, d)
0168 006B1989 vNor4 00000044 <- FFFFFDB9, 00000202
0169 0071E4FC vPopReg4 [004] <- 00000206
0170 00639539 vPopReg4 [010] <- 00000044

# e = c | d => nxor(c, d) => if(c == d)
0171 00519664 vPushReg4 [010] 00000044
0172 005188E3 vPushReg4 [010] 00000044
0173 00574BF9 vNor4 FFFFFFBB <- 00000044, 00000044
0174 00531E52 vPopReg4 [018] <- 00000286
0175 005919C4 vPopReg4 [004] <- FFFFFFBB


# g = e & ZF 
0176 004FBD09 vPushReg4 [004] FFFFFFBB
0177 006B2A12 vPushReg4 [004] FFFFFFBB
0178 0063803A vNand4 00000044 <- FFFFFFBB, FFFFFFBB
0179 00551056 vPopReg4 [008] <- 00000206

0180 00700D65 vPushImm4 F291278B
0181 005C99F9 vPushImm4 004AB25E
0182 005267FF vReadMemSs4 [004AB25E] -> 0D6ED834
0183 0071F837 vAdd4 FFFFFFBF <- 0D6ED834, F291278B
0184 006519B6 vPopReg4 [010] <- 00000282

0185 00621576 vNor4 00000000 <- FFFFFFBF, 00000044
0186 00523E4C vPopReg4 [018] <- 00000246

# h = g >> 0x6  // 0 or 1
0187 005E5B67 vShr4 00000000 <- 00000000, 00000006
0188 00688494 vPopReg4 [020] <- 00000246

0189 006A846B vPushImm4 C207B9AF
0190 0067C969 vPushImm4 004AB262
0191 00715986 vReadMemSs4 [004AB262] -> 3DF84650
0192 00698BD3 vAdd4 FFFFFFFF <- 3DF84650, C207B9AF
0193 006B7196 vPopReg4 [020] <- 00000286

# h1 = h - 1
0194 006A8ACA vAdd4 FFFFFFFF <- FFFFFFFF, 00000000
0195 006C187D vPopReg4 [018] <- 00000286
0196 004FF4B9 vPopReg4 [020] <- FFFFFFFF

0197 005C99F9 vPushImm4 94315D17
0198 0073CFF4 vPushImm4 004AB266
0199 005B610F vReadMemSs4 [004AB266] -> 6C423157
0200 006010F8 vAdd4 00738E6E <- 6C423157, 94315D17
0201 0071E4FC vPopReg4 [008] <- 00000203

0202 004E4FCE vPushReg4 [020] FFFFFFFF
0203 006FA614 vPushReg4 [020] FFFFFFFF
0204 0071DD9C vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0205 00639539 vPopReg4 [018] <- 00000246

# h2 = nand(~h1, 00738E6E)
0206 006027AC vNand4 FFFFFFFF <- 00000000, 00738E6E
0207 00531E52 vPopReg4 [024] <- 00000286

# h3 = ~h2 => ~h1 & 00738E6E
0208 006EB142 vPushEsp4 0018FE8C
0209 00573C6C vReadMemSs4 [0018FE8C] -> FFFFFFFF
0210 006CC28D vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0211 005919C4 vPopReg4 [018] <- 00000246

0212 006A846B vPushImm4 A39EE577
0213 005A067A vPushImm4 004AB26A
0214 00612BD5 vReadMemSs4 [004AB26A] -> 5CD4A85E
0215 006A6ED1 vAdd4 00738DD5 <- 5CD4A85E, A39EE577
0216 00551056 vPopReg4 [01C] <- 00000213

# h4 = nand(h1, 00738DD5)
0217 005626A0 vPushReg4 [020] FFFFFFFF
0218 005EEFA2 vNand4 FF8C722A <- FFFFFFFF, 00738DD5
0219 006519B6 vPopReg4 [018] <- 00000282

# h5 = ~h4 => h1 & 00738DD5
0220 004AE312 vPushEsp4 0018FE88
0221 00580DA6 vReadMemSs4 [0018FE88] -> FF8C722A
0222 006D4743 vNand4 00738DD5 <- FF8C722A, FF8C722A
0223 00523E4C vPopReg4 [018] <- 00000202

# h6 = h5 + h3 
0224 0072EEBE vAdd4 00738DD5 <- 00738DD5, 00000000
0225 00688494 vPopReg4 [01C] <- 00000202

# h7 = vbase + h6
0226 005CC9A6 vPushReg4 [00C] 00000000
0227 005C6201 vAdd4 00738DD5 <- 00000000, 00738DD5

# i = 0
0087 006A6ED1 vAdd4 0018FEDC <- FFFFFFFC, <ebp>0018FEE0
0088 00688494 vPopReg4 [004] <- 00000203
0089 007416A8 vReadMemSs4 [0018FEDC] -> 00000000

# cmp i, 4

# ~i
0090 0052FDC6 vPushEsp4 0018FE82
0091 0073A93F vReadMemSs4 [0018FE82] -> 00000000
0092 005EEFA2 vNand4 FFFFFFFF <- 00000000, 00000000
0093 006B7196 vPopReg4 [010] <- 00000286
# ~i + 4
0094 0072EEBE vAdd4 00000003 <- FFFFFFFF, 00000004
0095 006C187D vPopReg4 [010] <- 00000217
# ~(~i + 4) => i - 4
0096 00560EEB vPushEsp4 0018FE86
0097 005AC9B3 vReadMemSs4 [0018FE86] -> 00000003
0098 0067C7EB vNor4 FFFFFFFC <- 00000003, 00000003
0099 004FF4B9 vPopReg4 [018] <- 00000286
0100 0071E4FC vPopReg4 [024] <- FFFFFFFC

# f1 = eflags of ~i + 4
0101 00519664 vPushReg4 [010] 00000217
0102 006A846B vPushImm4 2E7D332F
0103 0067C969 vPushImm4 004AB24C
0104 0064EFA4 vReadMemSs4 [004AB24C] -> D182D4E6
# NOTE: 0x815 
0105 005C6201 vAdd4 00000815 <- D182D4E6, 2E7D332F
0106 00639539 vPopReg4 [01C] <- 00000213
0107 006D4743 vNand4 FFFFFFEA <- 00000815, 00000217
0108 00531E52 vPopReg4 [024] <- 00000282
0109 00645F27 vPushEsp4 0018FE86
0110 005ED537 vReadMemSs4 [0018FE86] -> FFFFFFEA
0111 00510455 vNor4 00000015 <- FFFFFFEA, FFFFFFEA
0112 005919C4 vPopReg4 [008] <- 00000202

# f2 = eflags of ~(~i + 4)
0113 005188E3 vPushReg4 [018] 00000286

0114 00700BC1 vPushImm4 BEC22E73
0115 0073CFF4 vPushImm4 004AB250
0116 004E3333 vReadMemSs4 [004AB250] -> 413DC977
0117 0057E963 vAdd4 FFFFF7EA <- 413DC977, BEC22E73
0118 00551056 vPopReg4 [004] <- 00000282
# NOTE: FFFFF7EA == ~0x815
0119 0052C370 vNand4 FFFFFD7D <- FFFFF7EA, 00000286
0120 006519B6 vPopReg4 [020] <- 00000286
0121 004AE960 vPushEsp4 0018FE82
0122 00675D8B vReadMemSs4 [0018FE82] -> FFFFFD7D
0123 004F6BCA vNor4 00000282 <- FFFFFD7D, FFFFFD7D
0124 00523E4C vPopReg4 [020] <- 00000206

# => eflags =  (f1 & 0x815) + (f2 & ~0x815)
0125 0055A32C vAdd4 00000297 <- 00000282, 00000015
0126 00688494 vPopReg4 [030] <- 00000202
0127 006B7196 vPopReg4 [030] <- 00000297
0128 006C187D vPopReg4 [024] <- 00000207

0129 004FBD09 vPushReg4 [030] 00000297
0130 006B2A12 vPushReg4 [030] 00000297
0131 00525C60 vNand4 FFFFFD68 <- 00000297, 00000297
0132 004FF4B9 vPopReg4 [004] <- 00000282
0133 005A067A vPushImm4 57A4C945
0134 005A793D vPushImm4 004AB256
0135 00617E7D vReadMemSs4 [004AB256] -> A85B363A
0136 006FBCFE vAdd4 FFFFFF7F <- A85B363A, 57A4C945
0137 0071E4FC vPopReg4 [010] <- 00000282

# a = eflags & SF
0138 004AEAD6 vNor4 00000080 <- FFFFFF7F, FFFFFD68
0139 00639539 vPopReg4 [024] <- 00000202
0140 00531E52 vPopReg4 [004] <- 00000080

0141 004E4FCE vPushReg4 [030] 00000297
0142 005147F9 vPushImm4 673258CD
0143 0072A795 vPushImm4 004AB25A
0144 006E9C8F vReadMemSs4 [004AB25A] -> 98CDAF33
0145 0076946A vAdd4 00000800 <- 98CDAF33, 673258CD
0146 005919C4 vPopReg4 [01C] <- 00000217

# b = eflags & OF
0147 0052FBE7 vNand4 FFFFFFFF <- 00000800, 00000297
0148 00551056 vPopReg4 [010] <- 00000286
0149 0066B4C7 vPushEsp4 0018FE8A
0150 0053AA78 vReadMemSs4 [0018FE8A] -> FFFFFFFF
0151 004EECA7 vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0152 006519B6 vPopReg4 [01C] <- 00000246
0153 00523E4C vPopReg4 [010] <- 00000000


0154 006FA614 vPushReg4 [024] 00000202
0155 005626A0 vPushReg4 [024] 00000202
0156 0072F738 vNand4 FFFFFDFD <- 00000202, 00000202
0157 00688494 vPopReg4 [008] <- 00000282

0158 005CC9A6 vPushReg4 [01C] 00000246
0159 00595AA8 vPushReg4 [01C] 00000246
0160 0065994B vNor4 FFFFFDB9 <- 00000246, 00000246
0161 006B7196 vPopReg4 [010] <- 00000282

# c = a_eflags & b_eflags 
0162 005582AF vNor4 00000202 <- FFFFFDB9, FFFFFDFD
0163 006C187D vPopReg4 [010] <- 00000202

# d = ~a_eflags & ~b_eflags 
0164 006FD628 vPushReg4 [024] 00000202
0165 005B5F3B vPushReg4 [01C] 00000246
0166 0050A804 vNor4 FFFFFDB9 <- 00000246, 00000202
0167 004FF4B9 vPopReg4 [004] <- 00000282

# e = nor(c, d)
0168 006B1989 vNor4 00000044 <- FFFFFDB9, 00000202
0169 0071E4FC vPopReg4 [004] <- 00000206
0170 00639539 vPopReg4 [010] <- 00000044

# e = c | d => nxor(c, d) => if(c == d)
0171 00519664 vPushReg4 [010] 00000044
0172 005188E3 vPushReg4 [010] 00000044
0173 00574BF9 vNor4 FFFFFFBB <- 00000044, 00000044
0174 00531E52 vPopReg4 [018] <- 00000286
0175 005919C4 vPopReg4 [004] <- FFFFFFBB


# g = e & ZF 
0176 004FBD09 vPushReg4 [004] FFFFFFBB
0177 006B2A12 vPushReg4 [004] FFFFFFBB
0178 0063803A vNand4 00000044 <- FFFFFFBB, FFFFFFBB
0179 00551056 vPopReg4 [008] <- 00000206

0180 00700D65 vPushImm4 F291278B
0181 005C99F9 vPushImm4 004AB25E
0182 005267FF vReadMemSs4 [004AB25E] -> 0D6ED834
0183 0071F837 vAdd4 FFFFFFBF <- 0D6ED834, F291278B
0184 006519B6 vPopReg4 [010] <- 00000282

0185 00621576 vNor4 00000000 <- FFFFFFBF, 00000044
0186 00523E4C vPopReg4 [018] <- 00000246

# h = g >> 0x6  // 0 or 1
0187 005E5B67 vShr4 00000000 <- 00000000, 00000006
0188 00688494 vPopReg4 [020] <- 00000246

0189 006A846B vPushImm4 C207B9AF
0190 0067C969 vPushImm4 004AB262
0191 00715986 vReadMemSs4 [004AB262] -> 3DF84650
0192 00698BD3 vAdd4 FFFFFFFF <- 3DF84650, C207B9AF
0193 006B7196 vPopReg4 [020] <- 00000286

# h1 = h - 1
0194 006A8ACA vAdd4 FFFFFFFF <- FFFFFFFF, 00000000
0195 006C187D vPopReg4 [018] <- 00000286
0196 004FF4B9 vPopReg4 [020] <- FFFFFFFF

0197 005C99F9 vPushImm4 94315D17
0198 0073CFF4 vPushImm4 004AB266
0199 005B610F vReadMemSs4 [004AB266] -> 6C423157
0200 006010F8 vAdd4 00738E6E <- 6C423157, 94315D17
0201 0071E4FC vPopReg4 [008] <- 00000203

0202 004E4FCE vPushReg4 [020] FFFFFFFF
0203 006FA614 vPushReg4 [020] FFFFFFFF
0204 0071DD9C vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0205 00639539 vPopReg4 [018] <- 00000246

# h2 = nand(~h1, 00738E6E)
0206 006027AC vNand4 FFFFFFFF <- 00000000, 00738E6E
0207 00531E52 vPopReg4 [024] <- 00000286

# h3 = ~h2 => ~h1 & 00738E6E
0208 006EB142 vPushEsp4 0018FE8C
0209 00573C6C vReadMemSs4 [0018FE8C] -> FFFFFFFF
0210 006CC28D vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0211 005919C4 vPopReg4 [018] <- 00000246

0212 006A846B vPushImm4 A39EE577
0213 005A067A vPushImm4 004AB26A
0214 00612BD5 vReadMemSs4 [004AB26A] -> 5CD4A85E
0215 006A6ED1 vAdd4 00738DD5 <- 5CD4A85E, A39EE577
0216 00551056 vPopReg4 [01C] <- 00000213

# h4 = nand(h1, 00738DD5)
0217 005626A0 vPushReg4 [020] FFFFFFFF
0218 005EEFA2 vNand4 FF8C722A <- FFFFFFFF, 00738DD5
0219 006519B6 vPopReg4 [018] <- 00000282

# h5 = ~h4 => h1 & 00738DD5
0220 004AE312 vPushEsp4 0018FE88
0221 00580DA6 vReadMemSs4 [0018FE88] -> FF8C722A
0222 006D4743 vNand4 00738DD5 <- FF8C722A, FF8C722A
0223 00523E4C vPopReg4 [018] <- 00000202

# h6 = h5 + h3 
0224 0072EEBE vAdd4 00738DD5 <- 00738DD5, 00000000
0225 00688494 vPopReg4 [01C] <- 00000202

# h7 = vbase + h6
0226 005CC9A6 vPushReg4 [00C] 00000000
0227 005C6201 vAdd4 00738DD5 <- 00000000, 00738DD5

以上代码过多，请按需要决定阅读，阅读的时候，请参照汇编代码。以下做分析说明

for 循环中的 i<4; 对应 jnl/jge 跳转指令，指令测试条件为 SF==OF，在循环中如果测试条件成立则跳出循环。在虚拟机中执行逻辑过程：

cmp 指令进行减法操作，随后收集减法操作的eflags

VMP中进行减法：a-b = ~(~a + b)
eflags 收集：

f1 = eflags of (~a + b)
f2 = eflags of ~(~a + b)
eflags = (f1 & 0x815) + (f2 & ~0x815)

测试 SF==OF 条件，对eflags分别测试SF位与OF位并分别记录

VMP3中使用同或计算，也就是SF与OF同时为0或者同时为1则条件成立

转换条件测试结果为0或1

对SF位和OF位测试结果进行同或运算，运算结果只有0或1
测试同或运算产生的eflags中ZF位，同或结果为真则ZF置1

依据条件测试结果选择地址

把同或运算eflags & ZF 减1，则只有0或-1(FFFFFFFF)，即互斥掩码对
真假条件目标地址与互斥掩码分别与运算然后相加（要么取真地址要么取假地址）

计算真实地址并跳转

对选择后的相对虚地址与虚基地址相加。此处的“虚”指的是vmp的v
把vmcontext 压入虚栈，然后调用vJmp指令，再出栈vmcontext。此时进入了新的条件地址执行

通过以上执行逻辑，我们可以找到一些可以应用：

用于比较的常数如0x815、SF/ZF/OF等可以被修改进而影响执行跳转逻辑。但这些常数被加密写死在vm bytecode中
eflags 是同态计算的，可以被相对容易地修改而改变执行跳转逻辑
可以修改4.1中的减数1，也较为容易地进行跳转逻辑修改
等等
但是，vmp3中严密的内存校验保护，让这些修改都有一定难度。而进入逻辑或者算术运算中修改真实eflags寄存器上的数值则可以更容易一些。
等等。总之，本文志在说明vmp3中新的jcc技巧，也许与其他前辈所发布的相对旧版本vmp中分析出来的有所不同。

另：最近在逆向mt4的通讯协议进行学习金融交易系统，新版mt4采用新版vmp进行订制性保护。工作量非常巨大，所以开发了几个工具。而在开发工具的过程中，得到了一些关于vmp方面的思路。其中一个想法是：把vmp中的虚拟指令转编为其他语言表示，如汇编或C/CPP。但由于当前手上工作量庞大，想招募一两个擅长或特别有兴趣于vmp的伙伴组个队完成这个小工具。由汇编到虚拟指令的工具已经完成。

	for (int i = 0; i < 4; i++) {
01222056  mov         dword ptr [ebp-4],0  // # var i
0122205D  jmp         fun_pickup_from_map+28h (01222068h)  
0122205F  mov         eax,dword ptr [ebp-4]  // refer i
01222062  add         eax,1  // i++
01222065  mov         dword ptr [ebp-4],eax  
01222068  cmp         dword ptr [ebp-4],4  // # cmp i, 4
0122206C  jge         fun_pickup_from_map+57h (01222097h)  
    // ...
	}

# i = 0
0087 006A6ED1 vAdd4 0018FEDC <- FFFFFFFC, <ebp>0018FEE0
0088 00688494 vPopReg4 [004] <- 00000203
0089 007416A8 vReadMemSs4 [0018FEDC] -> 00000000

# cmp i, 4

# ~i
0090 0052FDC6 vPushEsp4 0018FE82
0091 0073A93F vReadMemSs4 [0018FE82] -> 00000000
0092 005EEFA2 vNand4 FFFFFFFF <- 00000000, 00000000
0093 006B7196 vPopReg4 [010] <- 00000286
# ~i + 4
0094 0072EEBE vAdd4 00000003 <- FFFFFFFF, 00000004
0095 006C187D vPopReg4 [010] <- 00000217
# ~(~i + 4) => i - 4
0096 00560EEB vPushEsp4 0018FE86
0097 005AC9B3 vReadMemSs4 [0018FE86] -> 00000003
0098 0067C7EB vNor4 FFFFFFFC <- 00000003, 00000003
0099 004FF4B9 vPopReg4 [018] <- 00000286
0100 0071E4FC vPopReg4 [024] <- FFFFFFFC

# f1 = eflags of ~i + 4
0101 00519664 vPushReg4 [010] 00000217
0102 006A846B vPushImm4 2E7D332F
0103 0067C969 vPushImm4 004AB24C
0104 0064EFA4 vReadMemSs4 [004AB24C] -> D182D4E6
# NOTE: 0x815 
0105 005C6201 vAdd4 00000815 <- D182D4E6, 2E7D332F
0106 00639539 vPopReg4 [01C] <- 00000213
0107 006D4743 vNand4 FFFFFFEA <- 00000815, 00000217
0108 00531E52 vPopReg4 [024] <- 00000282
0109 00645F27 vPushEsp4 0018FE86
0110 005ED537 vReadMemSs4 [0018FE86] -> FFFFFFEA
0111 00510455 vNor4 00000015 <- FFFFFFEA, FFFFFFEA
0112 005919C4 vPopReg4 [008] <- 00000202

# f2 = eflags of ~(~i + 4)
0113 005188E3 vPushReg4 [018] 00000286

0114 00700BC1 vPushImm4 BEC22E73
0115 0073CFF4 vPushImm4 004AB250
0116 004E3333 vReadMemSs4 [004AB250] -> 413DC977
0117 0057E963 vAdd4 FFFFF7EA <- 413DC977, BEC22E73
0118 00551056 vPopReg4 [004] <- 00000282
# NOTE: FFFFF7EA == ~0x815
0119 0052C370 vNand4 FFFFFD7D <- FFFFF7EA, 00000286
0120 006519B6 vPopReg4 [020] <- 00000286
0121 004AE960 vPushEsp4 0018FE82
0122 00675D8B vReadMemSs4 [0018FE82] -> FFFFFD7D
0123 004F6BCA vNor4 00000282 <- FFFFFD7D, FFFFFD7D
0124 00523E4C vPopReg4 [020] <- 00000206

# => eflags =  (f1 & 0x815) + (f2 & ~0x815)
0125 0055A32C vAdd4 00000297 <- 00000282, 00000015
0126 00688494 vPopReg4 [030] <- 00000202
0127 006B7196 vPopReg4 [030] <- 00000297
0128 006C187D vPopReg4 [024] <- 00000207

0129 004FBD09 vPushReg4 [030] 00000297
0130 006B2A12 vPushReg4 [030] 00000297
0131 00525C60 vNand4 FFFFFD68 <- 00000297, 00000297
0132 004FF4B9 vPopReg4 [004] <- 00000282
0133 005A067A vPushImm4 57A4C945
0134 005A793D vPushImm4 004AB256
0135 00617E7D vReadMemSs4 [004AB256] -> A85B363A
0136 006FBCFE vAdd4 FFFFFF7F <- A85B363A, 57A4C945
0137 0071E4FC vPopReg4 [010] <- 00000282

# a = eflags & SF
0138 004AEAD6 vNor4 00000080 <- FFFFFF7F, FFFFFD68
0139 00639539 vPopReg4 [024] <- 00000202
0140 00531E52 vPopReg4 [004] <- 00000080

0141 004E4FCE vPushReg4 [030] 00000297
0142 005147F9 vPushImm4 673258CD
0143 0072A795 vPushImm4 004AB25A
0144 006E9C8F vReadMemSs4 [004AB25A] -> 98CDAF33
0145 0076946A vAdd4 00000800 <- 98CDAF33, 673258CD
0146 005919C4 vPopReg4 [01C] <- 00000217

# b = eflags & OF
0147 0052FBE7 vNand4 FFFFFFFF <- 00000800, 00000297
0148 00551056 vPopReg4 [010] <- 00000286
0149 0066B4C7 vPushEsp4 0018FE8A
0150 0053AA78 vReadMemSs4 [0018FE8A] -> FFFFFFFF
0151 004EECA7 vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0152 006519B6 vPopReg4 [01C] <- 00000246
0153 00523E4C vPopReg4 [010] <- 00000000


0154 006FA614 vPushReg4 [024] 00000202
0155 005626A0 vPushReg4 [024] 00000202
0156 0072F738 vNand4 FFFFFDFD <- 00000202, 00000202
0157 00688494 vPopReg4 [008] <- 00000282

0158 005CC9A6 vPushReg4 [01C] 00000246
0159 00595AA8 vPushReg4 [01C] 00000246
0160 0065994B vNor4 FFFFFDB9 <- 00000246, 00000246
0161 006B7196 vPopReg4 [010] <- 00000282

# c = a_eflags & b_eflags 
0162 005582AF vNor4 00000202 <- FFFFFDB9, FFFFFDFD
0163 006C187D vPopReg4 [010] <- 00000202

# d = ~a_eflags & ~b_eflags 
0164 006FD628 vPushReg4 [024] 00000202
0165 005B5F3B vPushReg4 [01C] 00000246
0166 0050A804 vNor4 FFFFFDB9 <- 00000246, 00000202
0167 004FF4B9 vPopReg4 [004] <- 00000282

# e = nor(c, d)
0168 006B1989 vNor4 00000044 <- FFFFFDB9, 00000202
0169 0071E4FC vPopReg4 [004] <- 00000206
0170 00639539 vPopReg4 [010] <- 00000044

# e = c | d => nxor(c, d) => if(c == d)
0171 00519664 vPushReg4 [010] 00000044
0172 005188E3 vPushReg4 [010] 00000044
0173 00574BF9 vNor4 FFFFFFBB <- 00000044, 00000044
0174 00531E52 vPopReg4 [018] <- 00000286
0175 005919C4 vPopReg4 [004] <- FFFFFFBB


# g = e & ZF 
0176 004FBD09 vPushReg4 [004] FFFFFFBB
0177 006B2A12 vPushReg4 [004] FFFFFFBB
0178 0063803A vNand4 00000044 <- FFFFFFBB, FFFFFFBB
0179 00551056 vPopReg4 [008] <- 00000206

0180 00700D65 vPushImm4 F291278B
0181 005C99F9 vPushImm4 004AB25E
0182 005267FF vReadMemSs4 [004AB25E] -> 0D6ED834
0183 0071F837 vAdd4 FFFFFFBF <- 0D6ED834, F291278B
0184 006519B6 vPopReg4 [010] <- 00000282

0185 00621576 vNor4 00000000 <- FFFFFFBF, 00000044
0186 00523E4C vPopReg4 [018] <- 00000246

# h = g >> 0x6  // 0 or 1
0187 005E5B67 vShr4 00000000 <- 00000000, 00000006
0188 00688494 vPopReg4 [020] <- 00000246

0189 006A846B vPushImm4 C207B9AF
0190 0067C969 vPushImm4 004AB262
0191 00715986 vReadMemSs4 [004AB262] -> 3DF84650
0192 00698BD3 vAdd4 FFFFFFFF <- 3DF84650, C207B9AF
0193 006B7196 vPopReg4 [020] <- 00000286

# h1 = h - 1
0194 006A8ACA vAdd4 FFFFFFFF <- FFFFFFFF, 00000000
0195 006C187D vPopReg4 [018] <- 00000286
0196 004FF4B9 vPopReg4 [020] <- FFFFFFFF

0197 005C99F9 vPushImm4 94315D17
0198 0073CFF4 vPushImm4 004AB266
0199 005B610F vReadMemSs4 [004AB266] -> 6C423157
0200 006010F8 vAdd4 00738E6E <- 6C423157, 94315D17
0201 0071E4FC vPopReg4 [008] <- 00000203

0202 004E4FCE vPushReg4 [020] FFFFFFFF
0203 006FA614 vPushReg4 [020] FFFFFFFF
0204 0071DD9C vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0205 00639539 vPopReg4 [018] <- 00000246

# h2 = nand(~h1, 00738E6E)
0206 006027AC vNand4 FFFFFFFF <- 00000000, 00738E6E
0207 00531E52 vPopReg4 [024] <- 00000286

# h3 = ~h2 => ~h1 & 00738E6E
0208 006EB142 vPushEsp4 0018FE8C
0209 00573C6C vReadMemSs4 [0018FE8C] -> FFFFFFFF
0210 006CC28D vNand4 00000000 <- FFFFFFFF, FFFFFFFF
0211 005919C4 vPopReg4 [018] <- 00000246

0212 006A846B vPushImm4 A39EE577
0213 005A067A vPushImm4 004AB26A
0214 00612BD5 vReadMemSs4 [004AB26A] -> 5CD4A85E
0215 006A6ED1 vAdd4 00738DD5 <- 5CD4A85E, A39EE577
0216 00551056 vPopReg4 [01C] <- 00000213

# h4 = nand(h1, 00738DD5)
0217 005626A0 vPushReg4 [020] FFFFFFFF
0218 005EEFA2 vNand4 FF8C722A <- FFFFFFFF, 00738DD5
0219 006519B6 vPopReg4 [018] <- 00000282

# h5 = ~h4 => h1 & 00738DD5
0220 004AE312 vPushEsp4 0018FE88
0221 00580DA6 vReadMemSs4 [0018FE88] -> FF8C722A
0222 006D4743 vNand4 00738DD5 <- FF8C722A, FF8C722A
0223 00523E4C vPopReg4 [018] <- 00000202

# h6 = h5 + h3 
0224 0072EEBE vAdd4 00738DD5 <- 00738DD5, 00000000
0225 00688494 vPopReg4 [01C] <- 00000202

# h7 = vbase + h6
0226 005CC9A6 vPushReg4 [00C] 00000000
0227 005C6201 vAdd4 00738DD5 <- 00000000, 00738DD5

用于比较的常数如0x815、SF/ZF/OF等可以被修改进而影响执行跳转逻辑。但这些常数被加密写死在vm bytecode中
eflags 是同态计算的，可以被相对容易地修改而改变执行跳转逻辑
可以修改4.1中的减数1，也较为容易地进行跳转逻辑修改
等等
但是，vmp3中严密的内存校验保护，让这些修改都有一定难度。而进入逻辑或者算术运算中修改真实eflags寄存器上的数值则可以更容易一些。
等等。总之，本文志在说明vmp3中新的jcc技巧，也许与其他前辈所发布的相对旧版本vmp中分析出来的有所不同。

cmp 指令进行减法操作，随后收集减法操作的eflags

VMP中进行减法：a-b = ~(~a + b)
eflags 收集：

f1 = eflags of (~a + b)
f2 = eflags of ~(~a + b)
eflags = (f1 & 0x815) + (f2 & ~0x815)

测试 SF==OF 条件，对eflags分别测试SF位与OF位并分别记录

VMP3中使用同或计算，也就是SF与OF同时为0或者同时为1则条件成立

转换条件测试结果为0或1

对SF位和OF位测试结果进行同或运算，运算结果只有0或1
测试同或运算产生的eflags中ZF位，同或结果为真则ZF置1

依据条件测试结果选择地址

把同或运算eflags & ZF 减1，则只有0或-1(FFFFFFFF)，即互斥掩码对
真假条件目标地址与互斥掩码分别与运算然后相加（要么取真地址要么取假地址）

计算真实地址并跳转

对选择后的相对虚地址与虚基地址相加。此处的“虚”指的是vmp的v
把vmcontext 压入虚栈，然后调用vJmp指令，再出栈vmcontext。此时进入了新的条件地址执行

VMP中进行减法：a-b = ~(~a + b)
eflags 收集：

f1 = eflags of (~a + b)
f2 = eflags of ~(~a + b)
eflags = (f1 & 0x815) + (f2 & ~0x815)

f1 = eflags of (~a + b)
f2 = eflags of ~(~a + b)
eflags = (f1 & 0x815) + (f2 & ~0x815)

VMP3中使用同或计算，也就是SF与OF同时为0或者同时为1则条件成立

对SF位和OF位测试结果进行同或运算，运算结果只有0或1
测试同或运算产生的eflags中ZF位，同或结果为真则ZF置1

把同或运算eflags & ZF 减1，则只有0或-1(FFFFFFFF)，即互斥掩码对
真假条件目标地址与互斥掩码分别与运算然后相加（要么取真地址要么取假地址）

对选择后的相对虚地址与虚基地址相加。此处的“虚”指的是vmp的v
把vmcontext 压入虚栈，然后调用vJmp指令，再出栈vmcontext。此时进入了新的条件地址执行

登录后可查看完整内容

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

最后于 2019-11-3 12:12 被yiivon编辑，原因：

收藏・12

免费・3

支持

最新回复 (12)
Editor 雪币： 26588 活跃值： (63242) 能力值： (RANK：135 ) 在线值：发帖 1682 回帖 4390 粉丝 1761 关注私信	Editor 2 楼感谢分享！ 2019-11-3 13:16 0
zbzb 雪币： 59 活跃值： (1481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 377 粉丝 0 关注私信	zbzb 3 楼貌似论坛上有一个现成的还原插件可以用。https://bbs.pediy.com/thread-250711.htm。 http://xxdisasm.com/#x_ext_upd/?page=1 2019-11-3 14:14 0
Rookietp 雪币： 1042 活跃值： (495) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 795 粉丝 2 关注私信	Rookietp 4 楼 vmp3 不是可以替换rsa吗。 2019-11-3 16:01 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 5 楼 Rookietp vmp3 不是可以替换rsa吗。你指的是？ 2019-11-3 16:44 0
bambooqj 雪币： 783 活跃值： (1121) 能力值： ( LV5，RANK：78 ) 在线值：发帖 34 回帖 365 粉丝 39 关注私信	bambooqj 6 楼框架都是差不多的..跟老版本其实并没有什么太大区别.我们应用中 pushfd 中所传入的数值也就是 https://img-my.csdn.net/uploads/201207/19/1342712354_1402.jpg 白皮书的图...标志位一样的 268 之类的分解成二进制然后确定影响标志位.. 在JCC中关注EFLAGS 部分即可. 最后于 2019-11-4 10:37 被bambooqj编辑，原因： 2019-11-3 17:02 0
_重黎雪币： 3454 活跃值： (7764) 能力值： ( LV4，RANK：41 ) 在线值：发帖 10 回帖 98 粉丝 30 关注私信	_重黎 7 楼 bambooqj 框架都是差不多的..跟老版本其实并没有什么太大区别.我们  应用中 pushfd 中所传入的数值 &n ... 刀哥。你的图挂了 2019-11-3 20:12 0
killpy 雪币： 83 活跃值： (1087) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 654 粉丝 48 关注私信	killpy 2 8 楼有个问题你是如何定位对应得VMP3的虚拟指令的? 2019-11-5 17:42 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 9 楼 killpy 有个问题你是如何定位对应得VMP3的虚拟指令的? 这个问题也许有两层含义，我分别回答：1、也许问的是由于VMP3的虚拟指令（很多前辈说的handler）不再在尾部回到指令调度（dispatcher）循环执行下一条，所以如何定位并跟踪分析出虚拟指令。这是通过静态CFG分析+动态调试定位并捕获运行时参数的；2、也许问的是文中两部分代码（x86的汇编指令与虚拟指令）是如何对应上的。很简单，在vs中写一个for()，编译后再使用VMP3加壳，然后使用调试器对加壳后程序进行分析。由于在动态分析工具中，vmp3虚拟机保护部分代码自身已经解压，可以很容易定位到。 2019-11-5 20:21 0
xiaohang 雪币： 2147 活跃值： (3206) 能力值： (RANK：260 ) 在线值：发帖 20 回帖 212 粉丝 83 关注私信	xiaohang 3 10 楼的却，vmp3.0开始就没有dispatcher了 2019-11-8 16:46 0
lhwqqq 雪币： 47 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 87 粉丝 0 关注私信	lhwqqq 11 楼 vNor(a,b) 是 !a \| !b 或非门？ 2019-11-26 00:18 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 12 楼 lhwqqq vNor(a,b) 是 !a \| !b 或非门？ nor(a,b) == !(a \| b) == !a & !b 2019-12-4 13:46 0
redsister 雪币： 144 活跃值： (44) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	redsister 13 楼 VMP3.0那位大佬？ 2020-2-15 15:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

yiivon

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (12)
Editor 雪币： 26588 活跃值： (63242) 能力值： (RANK：135 ) 在线值：发帖 1682 回帖 4390 粉丝 1761 关注私信	Editor 2 楼感谢分享！ 2019-11-3 13:16 0
zbzb 雪币： 59 活跃值： (1481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 377 粉丝 0 关注私信	zbzb 3 楼貌似论坛上有一个现成的还原插件可以用。https://bbs.pediy.com/thread-250711.htm。 http://xxdisasm.com/#x_ext_upd/?page=1 2019-11-3 14:14 0
Rookietp 雪币： 1042 活跃值： (495) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 795 粉丝 2 关注私信	Rookietp 4 楼 vmp3 不是可以替换rsa吗。 2019-11-3 16:01 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 5 楼 Rookietp vmp3 不是可以替换rsa吗。你指的是？ 2019-11-3 16:44 0
bambooqj 雪币： 783 活跃值： (1121) 能力值： ( LV5，RANK：78 ) 在线值：发帖 34 回帖 365 粉丝 39 关注私信	bambooqj 6 楼框架都是差不多的..跟老版本其实并没有什么太大区别.我们应用中 pushfd 中所传入的数值也就是 https://img-my.csdn.net/uploads/201207/19/1342712354_1402.jpg 白皮书的图...标志位一样的 268 之类的分解成二进制然后确定影响标志位.. 在JCC中关注EFLAGS 部分即可. 最后于 2019-11-4 10:37 被bambooqj编辑，原因： 2019-11-3 17:02 0
_重黎雪币： 3454 活跃值： (7764) 能力值： ( LV4，RANK：41 ) 在线值：发帖 10 回帖 98 粉丝 30 关注私信	_重黎 7 楼 bambooqj 框架都是差不多的..跟老版本其实并没有什么太大区别.我们  应用中 pushfd 中所传入的数值 &n ... 刀哥。你的图挂了 2019-11-3 20:12 0
killpy 雪币： 83 活跃值： (1087) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 654 粉丝 48 关注私信	killpy 2 8 楼有个问题你是如何定位对应得VMP3的虚拟指令的? 2019-11-5 17:42 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 9 楼 killpy 有个问题你是如何定位对应得VMP3的虚拟指令的? 这个问题也许有两层含义，我分别回答：1、也许问的是由于VMP3的虚拟指令（很多前辈说的handler）不再在尾部回到指令调度（dispatcher）循环执行下一条，所以如何定位并跟踪分析出虚拟指令。这是通过静态CFG分析+动态调试定位并捕获运行时参数的；2、也许问的是文中两部分代码（x86的汇编指令与虚拟指令）是如何对应上的。很简单，在vs中写一个for()，编译后再使用VMP3加壳，然后使用调试器对加壳后程序进行分析。由于在动态分析工具中，vmp3虚拟机保护部分代码自身已经解压，可以很容易定位到。 2019-11-5 20:21 0
xiaohang 雪币： 2147 活跃值： (3206) 能力值： (RANK：260 ) 在线值：发帖 20 回帖 212 粉丝 83 关注私信	xiaohang 3 10 楼的却，vmp3.0开始就没有dispatcher了 2019-11-8 16:46 0
lhwqqq 雪币： 47 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 87 粉丝 0 关注私信	lhwqqq 11 楼 vNor(a,b) 是 !a \| !b 或非门？ 2019-11-26 00:18 0
yiivon 雪币： 502 活跃值： (32) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 10 粉丝 0 关注私信	yiivon 12 楼 lhwqqq vNor(a,b) 是 !a \| !b 或非门？ nor(a,b) == !(a \| b) == !a & !b 2019-12-4 13:46 0
redsister 雪币： 144 活跃值： (44) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	redsister 13 楼 VMP3.0那位大佬？ 2020-2-15 15:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复