-
-
[原创]Vmprotect3.5.1 壹之型 — 暗月·宵之宫
-
2022-2-19 00:52
-
在很久很久以前，，神奇的nooby有了个天才的想法，通过修改themida的引擎，使其强制输出了没有混淆和加密的程序，很轻松的就分析完了外壳逻辑和vm的逻辑，盖亚。
通过nooby的想法，我们也将vmp3.5.1的引擎进行了修改，使其强行输出了没有混淆和vm后的代码，便于我们分析外壳和handler的逻辑,今天先来看看vmp的反调试原理，先将vmp配置成如下，避免其他功能的干扰。
保护后得到了非常干净的程序。
如图，这时的入口不再是骇人的 push 0xXXXXXX / call xxxxxx
而是
1 2 3 4 5 6 7 | int start(){ if ( (unsigned int)sub_4F4664() == 1 ) return mainCRTStartup(); sub_4F44EC(); return 0xDEADC0DE;} |
sub_4F4664()是一个非常大的函数，vmp整个外壳的逻辑所在，内存保护，导入表保护，资源保护，压缩等等就是在这个函数中处理的。
第一步，先获取ntdll的版本信息
根据ntdll的版本初始化一些HardCode，后面会用到
接着我们直奔诸葛亮三轮车,vmp自己封装了一个从模块的导出表直接得到地址的函数，这种方式在shellcode中比较常见。
比较完善，还还考虑了转发的情况
接着通过GetExportAddress和上面通过ntdll定位的syscall序号进行反调试检测。
vmp分别通过了
IsDebuggerPresent,CheckRemoteDebuggerPresent, NtQueryInformationProcess,以及ZwSetInformationThread进行用户态反调试，vmp在调用函数之前，会检测头部是不是0xCC,然后直接报错。
还有就是直接syscall直接调用比较有效。
那么，剩下的贰之型·珠华弄月再说..
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
思路很好，是不是可以举一反三去弄其他壳了， 怎么改引擎有没有人抛砖呢
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
66666666
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
能放个bin就更好了
|
|
|
|
|
|
|
|
|
楼主思路不错，学习了，顺便问一下，nooby的帖还能看到么，搜了下，没找到。研究了下，发现确实可以实现。期待楼主下一篇新作，无意班门弄斧，仅仅是感兴趣学习下而已。
回复很多人想要个bin，我发个初期研究成果吧，user-debug模式、VMP3.3、只去了VM没处理代码混淆的bin。 链接：https://pan.baidu.com/s/1T6pO311X5SrJ4Q2sXJSn8Q 提取码：tsb9 30天有效期，过期不补！have fun ~ |
|
|
我们谈论的是保护器本身的原始补丁文件。 我们可以自己组装任何项目。 这对于生成虚拟指令的统计信息非常有用。 |
|
|
哦 那我理解有误 抱歉。 |
|
|
|
|
|
您的示例也非常好，但并未涵盖所有处理器指令。谢谢你的例子！ |
