[原创]ttEncrypt加密逆向分析（详细版）-逆向工程-看雪安全社区

[原创]ttEncrypt加密逆向分析（详细版）

发表于: 2025-3-31 11:34 31477

[原创]ttEncrypt加密逆向分析（详细版）

CCTV果冻爽

2025-3-31 11:34

31477

EncryptorUtil 类的 ttEncrypt 函数用于对一段二进制数据加密（用于http请求body加密），函数定义如下：

```
public static native byte[] ttEncrypt(byte[] bArr, int i);
```
函数传入 byte[] 和 长度，返回一个  byte[]，其 native 层代码位于 libEncryptor.so 中
 ![图片描述](upload/attach/202503/770147_32PTPRYBHQ978DK.webp)

IDA 反编译 so 发现并没有直接jni 绑定，因此 hook RegisterNatives 函数寻找绑定的 native 层函数地址：

```
Interceptor.attach(addrRegisterNatives, {
                onEnter: function (args) {
                console.log("[RegisterNatives] method_count:", args[3], DebugSymbol.fromAddress(this.returnAddress));
                var env = args[0];
                var java_class = args[1];
                var class_name = Java.vm.tryGetEnv().getClassName(java_class);
 
                var methods_ptr = ptr(args[2]);
 
                var method_count = parseInt(args[3]);
                for (var i = 0; i < method_count; i++) {
                    var name_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3));
                    var sig_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize));
                    var fnPtr_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize * 2));
 
                    var name = Memory.readCString(name_ptr);
                    var sig = Memory.readCString(sig_ptr);
                    var find_module = Process.findModuleByAddress(fnPtr_ptr);
                    console.log("[RegisterNatives] java_class:", class_name, "name:", name, "sig:", sig, "fnPtr:", fnPtr_ptr, "module_name:", find_module.name, "module_base:", find_module.base, "offset:", ptr(fnPtr_ptr).sub(find_module.base));
 
                }
            },
            onLeave: function (retval) { }
});
```

打印输出：
[RegisterNatives] method_count: 0x1 0x76d0acbd6c libEncryptor.so!0xd6c
[RegisterNatives] java_class: com.bytedance.frameworks.encryptor.EncryptorUtil name: ttEncrypt sig: ([BI)[B fnPtr: 0x76d0ad2d88 module_name: libEncryptor.so module_base: 0x76d0acb000 offset: 0x7d88

native 层函数位于文件偏移 0x7d88 处。

反编译代码如下：

```
jbyteArray __fastcall sub_7D88(JNIEnv *env, jclass thiz, jbyteArray jarray, jint size)
{
  unsigned __int64 v4; // x25
  int v5; // w24
  jbyteArray v6; // x19
  JNIEnv *v7; // x20
  JNIEnv *v8; // x23
  jbyte *v9; // x21
  __int64 v10; // x22
  __int64 v11; // [xsp+0h] [xbp-50h]
  __int64 v12; // [xsp+8h] [xbp-48h]
 
  v4 = _ReadStatusReg(ARM64_SYSREG(3, 3, 13, 0, 2));
  v5 = size;
  v6 = jarray;
  v7 = env;
  v8 = 0LL;
  v12 = *(_QWORD *)(v4 + 40);
  if ( jarray && (signed int)size >= 1 )
  {
    env = (JNIEnv *)(*env)->GetByteArrayElements(env, jarray, 0LL);
    v9 = (jbyte *)env;
    if ( env )
    {
      v11 = v5 + 118;
      v10 = malloc(v5 + 118);
      if ( v10 )
      {
        sub_2BD4((__int64)v9, v5, v10, (__int64)&v11);
        if ( v11 )
        {
          v8 = (JNIEnv *)((__int64 (__fastcall *)(JNIEnv *))(*v7)->NewByteArray)(v7);
          ((void (__fastcall *)(JNIEnv *, JNIEnv *, _QWORD, _QWORD, __int64))(*v7)->SetByteArrayRegion)(
            v7,
            v8,
            0LL,
            (unsigned int)v11,
            v10);
        }
        else
        {
          v8 = 0LL;
        }
        ((void (__fastcall *)(JNIEnv *, jbyteArray, jbyte *, _QWORD))(*v7)->ReleaseByteArrayElements)(v7, v6, v9, 0LL);
        env = (JNIEnv *)free(v10);
      }
      else
      {
        env = (JNIEnv *)((__int64 (__fastcall *)(JNIEnv *, jbyteArray, jbyte *, _QWORD))(*v7)->ReleaseByteArrayElements)(
                          v7,
                          v6,
                          v9,
                          0LL);
        v8 = 0LL;
      }
    }
    else
    {
      v8 = 0LL;
    }
  }
  if ( *(_QWORD *)(v4 + 40) == v12 )
    env = v8;
  return (jbyteArray)env;
}
```
这是补全变量类型后的反编译代码，获取传入的 jbytearray 后，转成 jbyte*,重新申请 size+118大小的内存，然后调用 sub_2BD4函数处理，如果处理的长度大于 0，则调用NewByteArray、SetByteArrayRegion 拷贝处理的结果并返回，否则返回 NULL。因此函数sub_2BD4 内部会处理加密逻辑，并且加密后的大小是 size + 118.

汇编代码对应如下：
 ![图片描述](upload/attach/202503/770147_23MDPYAS78CGHBF.webp)
反编译 sub_2BD4：

```
void __fastcall sub_2BD4(jbyte *a1, jsize a2, char *a3, int *a4)
{
  unsigned __int64 v4; // x19
  jbyte *v5; // [xsp+8h] [xbp-528h]
  jsize v6; // [xsp+10h] [xbp-520h]
  char *v7; // [xsp+18h] [xbp-518h]
  int *v8; // [xsp+20h] [xbp-510h]
  __int64 (__fastcall *v9)(__int64 (__fastcall *)(__int64), __int64); // [xsp+28h] [xbp-508h]
  __int64 *v10; // [xsp+30h] [xbp-500h]
  __int64 v11; // [xsp+510h] [xbp-20h]
  __int64 v12; // [xsp+518h] [xbp-18h]
 
  v4 = _ReadStatusReg(ARM64_SYSREG(3, 3, 13, 0, 2));
  v12 = *(_QWORD *)(v4 + 40);
  v5 = a1;
  v6 = a2;
  v7 = a3;
  v8 = a4;
  v9 = sub_2D1C;
  v10 = &v11;
  sub_2D28((unsigned int *)&unk_B2C0, (__int64)&v5, 0LL, (__int64)&off_21CE0, (__int64)&v9);
  *(_QWORD *)(v4 + 40);
}
```
实际是调用 sub_2D28，并传入了一些参数，我们看汇编代码看参数是怎么传递的：
 ![图片描述](upload/attach/202503/770147_233UEEHHCC7XAHK.webp)
这个函数有 5 个参数，
参数 1：地址 0xB2C0，是一个数据段的地址，看起来像是一个字节码序列
参数 2：是一个参数指针，里面保存了调用者传入的 4 个参数，即 jbyte*和 jsize char* 和 int*
参数 3：0
参数 4：地址 0x21CE0，像是一个地址数组
参数 5：是一个地址，里面保存了函数 sub_2D1C 和 sp +0x510

函数 sub_2D28 反编译代码：

```
unsigned int *__fastcall sub_2D28(unsigned int *result, __int64 a2, __int64 a3, __int64 a4, __int64 a5)
{
  __int64 v5; // x19
  unsigned int *v6; // x20
  unsigned int **v7; // x21
  _QWORD *v8; // x4
  _QWORD *v9; // x5
  signed __int64 v10; // x1
  unsigned __int64 *v11; // x6
  unsigned __int64 *v12; // x7
  unsigned int v13; // w12
  unsigned int v14; // w16
  unsigned int v15; // w15
  unsigned int v16; // w14
  unsigned int v17; // w10
  unsigned int v18; // w11
  unsigned __int64 v19; // x9
  __int64 v20; // x8
  unsigned int v21; // w13
  unsigned int v22; // w18
  unsigned int v23; // w17
  __int64 v24; // x11
  bool v25; // zf
  int v26; // w11
  signed __int64 v27; // x8
  signed int v28; // w10
  unsigned int *v29; // x11
  unsigned int v30; // w13
  unsigned int *v31; // x9
  signed __int64 v32; // x8
  signed int v33; // w11
  signed int v34; // w9
  unsigned __int64 v35; // x9
  _QWORD *v36; // x10
  __int64 v37; // x11
  char v38; // w9
  unsigned __int64 v39; // x8
  unsigned __int64 v40; // x9
  int v41; // w11
  int v42; // w10
  int v43; // w11
  int v44; // w10
  int v45; // w8
  int v46; // w12
  signed __int64 v47; // x9
  unsigned int *v48; // x10
  signed __int64 v49; // x12
  signed __int64 v50; // x10
  _BOOL4 v51; // w11
  bool v52; // nf
  signed int v53; // w8
  _BOOL4 v54; // w9
  signed int v55; // w10
  int v56; // w13
  unsigned int v57; // w10
  unsigned __int64 v58; // t2
  int v59; // w10
  int v60; // w11
  unsigned int *v61; // x13
  signed __int64 v62; // x11
  signed int v63; // w9
  signed __int64 v64; // x8
  signed int v65; // w11
  signed int v66; // w9
  unsigned int v67; // w11
  unsigned __int64 v68; // t2
  int v69; // w10
  unsigned int v70; // w11
  unsigned int v71; // w12
  __int64 v72; // x9
  __int64 v73; // x8
  int v74; // w13
  unsigned __int64 v75; // t2
  int v76; // w11
  __int64 v77; // x11
  char v78; // w9
  _DWORD *v79; // x10
  int v80; // w11
  char v81; // w9
  int v82; // w8
  unsigned int v83; // w9
  int v84; // w11
  char v85; // w9
  signed int v86; // w12
  unsigned __int8 v87; // vf
  _BOOL4 v88; // w13
  int v89; // w11
  signed __int64 v90; // x8
  _BOOL4 v91; // w13
  int v92; // w11
  signed __int64 v93; // x9
  __int64 v94; // x9
  unsigned __int64 v95; // x8
  unsigned __int64 v96; // x10
  int v97; // w9
  signed __int64 v98; // x9
  signed int v99; // w8
  unsigned __int64 v100; // x9
  unsigned __int64 v101; // x8
  unsigned __int64 v102; // x10
  int v103; // w9
  unsigned int v104; // w8
  int v105; // w10
  int v106; // w9
  signed __int64 v107; // x9
  __int64 v108; // x8
  signed __int64 v109; // x9
  unsigned __int64 v110; // x8
  int v111; // w11
  __int64 v112; // x8
  int v113; // w11
  signed __int64 v114; // x11
  int v115; // w8
  signed __int64 v116; // x9
  __int64 v117; // x8
  unsigned int v118; // w11
  unsigned int v119; // w12
  __int64 v120; // x9
  __int64 v121; // x8
  unsigned __int64 v122; // x8
  unsigned __int64 v123; // x9
  unsigned __int64 v124; // x8
  _QWORD *v125; // x24
  _QWORD *v126; // x26
  unsigned __int64 *v127; // ST08_8
  unsigned __int64 *v128; // x23
  signed int v129; // w12
  _BOOL4 v130; // w13
  int v131; // w11
  signed __int64 v132; // x8
  unsigned __int64 v133; // x8
  unsigned __int64 v134; // x8
  bool v135; // cf
  _QWORD *v136; // x8
  unsigned int *v137; // x8
  __int64 v138; // x9
  __int64 v139; // x8
  unsigned int *v140; // x13
  signed __int64 v141; // x8
  signed __int64 v142; // x9
  signed int v143; // w12
  signed int v144; // w10
  __int64 v145; // x9
  __int64 v146; // x8
  signed __int64 v147; // x9
  __int64 v148; // x8
  __int64 v149; // x8
  signed int v150; // w11
  unsigned int *v151; // x8
  _BOOL4 v152; // w13
  int v153; // w12
  signed __int64 v154; // x9
 
  v6 = *(unsigned int **)a5;
  v5 = *(_QWORD *)(a5 + 8);
  *(_QWORD *)(v5 - 56) = 0LL;
  *(_QWORD *)(v5 - 304) = 0LL;
  v7 = (unsigned int **)(v5 - 312);
  v8 = (_QWORD *)(v5 - 272);
  v9 = (_QWORD *)(v5 - 264);
  *(_QWORD *)(v5 - 72) = (v5 - 328) & 0xFFFFFFFFFFFFFFF0LL;
  *(_QWORD *)(v5 - 32) = 0LL;
  *(_QWORD *)(v5 - 272) = a2;
  *(_QWORD *)(v5 - 264) = a3;
  *(_QWORD *)(v5 - 256) = a4;
  *(_QWORD *)(v5 - 248) = v6;
  *(_QWORD *)(v5 - 312) = result;
  *(_QWORD *)(v5 - 8) = result;
  if ( result )
  {
    v10 = 0LL;
    v11 = (unsigned __int64 *)(v5 - 40);
    v12 = (unsigned __int64 *)(v5 - 48);
    while ( 1 )
    {
      v13 = *result;
      if ( v10 == 2 )
      {
        v10 = 3LL;
        *(_QWORD *)(v5 - 32) = 3LL;
      }
      v14 = v13 & 0x10000000;
      v15 = v13 & 0x20000000;
      v16 = v13 & 0x40000000;
      v17 = (v13 >> 11) & 2 | (v13 >> 31) | (v13 >> 11) & 4 | (v13 >> 11) & 8 | (v13 >> 11) & 0x10;
      v18 = ((v13 & 0x10000000) >> 26) & 0xFFFFFFFC | (v13 >> 26) & 3 | ((v13 & 0x20000000) >> 26);
      v19 = (v13 >> 21) & 0x1F;
      v20 = (v13 >> 16) & 0x1F;
LABEL_7:
      v21 = v13 & 0x80000000;
      v22 = v13 & 0x4000000;
      while ( 2 )
      {
        v23 = v13 & 0x8000000;
        v24 = v18 | (v16 >> 26);
        switch ( v17 )
        {
          case 0u:
          case 2u:
          case 8u:
          case 0x12u:
          case 0x1Fu:
          case 0x21u:
          case 0x22u:
          case 0x27u:
          case 0x2Bu:
          case 0x30u:
          case 0x31u:
          case 0x33u:
          case 0x37u:
            v25 = v17 == 55;
            if ( v17 <= 0x37 )
            {
              v26 = (v13 >> 6) & 0x3F;
              v13 = (unsigned __int16)(v13 & 0xF000) | (v22 >> 20);
              v18 = v13 | v26 | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20);
              v19 = (unsigned __int64)v7[(unsigned int)v19 + 1] + (signed __int16)v18;
              switch ( v13 )
              {
                case 0u:
                  v19 = *(signed __int16 *)v19;
                  goto LABEL_236;
                case 2u:
                  v19 = *(_QWORD *)v19;
                  goto LABEL_236;
                case 8u:
                  v19 = *(char *)v19;
                  goto LABEL_236;
                case 0x12u:
                  v27 = (signed __int64)&v7[(unsigned int)v20];
                  v19 = *(_DWORD *)(v27 + 8) & (unsigned int)(-1 << (32 - 8 * (v19 & 3))) | (*(_DWORD *)(v19 & 0xFFFFFFFFFFFFFFFCLL) >> 8 * (v19 & 3));
                  goto LABEL_237;
                case 0x21u:
                  v19 = *(unsigned __int8 *)v19;
                  goto LABEL_236;
                case 0x22u:
                  v27 = (signed __int64)&v7[(unsigned int)v20];
                  v19 = *(_QWORD *)(v27 + 8) & (-1LL << (64 - 8 * ((unsigned __int8)v19 & 7u))) | (*(_QWORD *)(v19 & 0xFFFFFFFFFFFFFFF8LL) >> 8 * ((unsigned __int8)v19 & 7u));
                  goto LABEL_237;
                case 0x27u:
                case 0x31u:
                  v27 = (signed __int64)&v7[(unsigned int)v20];
                  v19 = *(_QWORD *)(v27 + 8) & (0xFFFFFFFFFFFFFFuLL >> 8 * ((unsigned __int8)v19 & 7u)) | (*(_QWORD *)(v19 & 0xFFFFFFFFFFFFFFF8LL) << (56 - 8 * ((unsigned __int8)v19 & 7u)));
                  goto LABEL_237;
                case 0x2Bu:
                  v19 = *(signed int *)v19;
                  goto LABEL_236;
                case 0x30u:
                  v19 = *(unsigned __int16 *)v19;
                  goto LABEL_236;
                case 0x33u:
                  v19 = *(unsigned int *)v19;
                  goto LABEL_236;
                case 0x37u:
                  v27 = (signed __int64)&v7[(unsigned int)v20];
                  v19 = *(_DWORD *)(v27 + 8) & (0xFFFFFFu >> 8 * (v19 & 3)) | (*(_DWORD *)(v19 & 0xFFFFFFFFFFFFFFFCLL) << (24 - 8 * (v19 & 3)));
                  goto LABEL_237;
                case 0x38u:
                  continue;
                case 0x39u:
                case 0x3Bu:
                case 0x3Cu:
                case 0x3Du:
                case 0x3Eu:
                case 0x3Fu:
                  goto LABEL_218;
                case 0x3Au:
                  goto LABEL_7;
                default:
                  goto def_4104;
              }
            }
            goto def_4104;
          case 3u:
          case 5u:
          case 0xFu:
          case 0x1Au:
          case 0x2Cu:
          case 0x2Du:
          case 0x3Au:
          case 0x3Fu:
            if ( !v10 )
            {
              v28 = 0;
              v29 = 0LL;
              v30 = (signed int)((v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20)) << 16) >> 14;
              switch ( v13 & 0x3F )
              {
                case 3u:
                case 0x1Au:
                case 0x2Du:
                case 0x3Fu:
                  goto LABEL_15;
                case 5u:
                case 0xFu:
                case 0x2Cu:
                case 0x3Au:
                  v29 = v7[(unsigned int)v20 + 1];
LABEL_15:
                  v31 = v7[(unsigned int)v19 + 1];
                  v32 = (signed __int64)result + (signed int)(v30 + 4);
                  switch ( (_DWORD)v32 )
                  {
                    case 0:
                      if ( (signed __int64)v31 <= 0 )
                        goto LABEL_112;
                      goto LABEL_17;
                    case 2:
                      if ( v31 == v29 )
                        goto LABEL_112;
                      goto LABEL_17;
                    case 0xC:
                      if ( v31 == v29 )
                        goto LABEL_17;
                      goto LABEL_112;
                    case 0x17:
                      v25 = v31 == 0LL;
                      v52 = (signed __int64)v31 < 0;
                      v34 = 1;
                      if ( !v52 && !v25 )
                        goto LABEL_109;
                      goto LABEL_113;
                    case 0x29:
                      v25 = v31 == v29;
                      v34 = 1;
                      if ( !v25 )
                        goto LABEL_113;
                      goto LABEL_109;
                    case 0x2A:
                      v87 = __OFSUB__(v31, 1LL);
                      v52 = (signed __int64)v31 - 1 < 0;
                      v34 = 1;
                      if ( !(v52 ^ v87) )
                        goto LABEL_113;
                      goto LABEL_109;
                    case 0x37:
                      v25 = v31 == v29;
                      v34 = 1;
                      if ( v25 )
                        goto LABEL_113;
LABEL_109:
                      v33 = 0;
                      goto LABEL_110;
                    case 0x3C:
                      if ( (signed __int64)v31 < 1 )
                      {
LABEL_17:
                        v33 = 0;
                        v34 = 0;
LABEL_110:
                        v28 = 0;
                        v86 = 1;
                      }
                      else
                      {
LABEL_112:
                        v34 = 0;
LABEL_113:
                        v86 = 0;
                        v28 = 0;
                        v32 = (signed __int64)(result + 2);
                        v33 = 1;
                      }
                      goto LABEL_114;
                    default:
                      goto def_4104;
                  }
                  goto def_4104;
                case 0x11u:
                  v28 = 31;
                  goto LABEL_95;
                case 0x2Au:
LABEL_95:
                  v33 = 0;
                  v34 = 0;
                  v86 = 1;
                  v32 = *(_QWORD *)(v5 - 8) + v30;
LABEL_114:
                  v88 = v34 != 0;
                  v89 = v33 & v88;
                  *(_QWORD *)(v5 - 24) = v32;
                  if ( v89 & 1 || !v34 || v86 & v88 )
                  {
                    v90 = 1LL;
                    if ( !v89 )
                      v90 = 2LL;
                    *(_QWORD *)(v5 - 32) = v90;
                  }
                  goto LABEL_120;
                default:
                  goto def_4104;
              }
            }
            goto def_4104;
          case 4u:
          case 0x20u:
          case 0x38u:
          case 0x3Eu:
            v41 = v13 & 0x3F;
            v42 = v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20);
            if ( v41 > 55 )
            {
              if ( v41 == 56 )
              {
                *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) ^ (unsigned __int16)v42;
              }
              else if ( v41 == 62 )
              {
                *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) | (unsigned __int16)v42;
              }
            }
            else
            {
              if ( v41 == 4 )
              {
                LODWORD(v19) = (v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20)) << 16;
                goto LABEL_92;
              }
              if ( v41 == 32 )
                *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) & (unsigned __int16)v42;
            }
            goto def_4104;
          case 0xAu:
          case 0xBu:
          case 0xEu:
          case 0x14u:
          case 0x16u:
          case 0x24u:
          case 0x36u:
          case 0x3Bu:
            v35 = (unsigned __int64)v7[(unsigned int)v19 + 1]
                + (v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20));
            switch ( v13 & 0x3F )
            {
              case 0xAu:
                v36 = (_QWORD *)(v35 & 0xFFFFFFFFFFFFFFF8LL);
                v37 = *(_QWORD *)(v35 & 0xFFFFFFFFFFFFFFF8LL);
                v38 = 8 * (v35 & 7);
                v39 = (unsigned __int64)v7[(unsigned int)v20 + 1] >> (56 - v38);
                v40 = v37 & (-256LL << v38);
                goto LABEL_83;
              case 0xBu:
                v36 = (_QWORD *)(v35 & 0xFFFFFFFFFFFFFFF8LL);
                v77 = *(_QWORD *)(v35 & 0xFFFFFFFFFFFFFFF8LL);
                v78 = 8 * (v35 & 7);
                v39 = (_QWORD)v7[(unsigned int)v20 + 1] << v78;
                v40 = v77 & (0xFFFFFFFFFFFFFFFFLL >> (64 - v78));
LABEL_83:
                *v36 = v40 | v39;
                goto def_4104;
              case 0xEu:
                *(_BYTE *)v35 = v7[(unsigned int)v20 + 1];
                goto def_4104;
              case 0x14u:
                *(_WORD *)v35 = v7[(unsigned int)v20 + 1];
                goto def_4104;
              case 0x16u:
                v79 = (_DWORD *)(v35 & 0xFFFFFFFFFFFFFFFCLL);
                v80 = *(_DWORD *)(v35 & 0xFFFFFFFFFFFFFFFCLL);
                v81 = 8 * (v35 & 3);
                v82 = LODWORD(v7[(unsigned int)v20 + 1]) >> (24 - v81);
                v83 = v80 & (-256 << v81);
                goto LABEL_88;
              case 0x24u:
                v79 = (_DWORD *)(v35 & 0xFFFFFFFFFFFFFFFCLL);
                v84 = *(_DWORD *)(v35 & 0xFFFFFFFFFFFFFFFCLL);
                v85 = 8 * (v35 & 3);
                v82 = LODWORD(v7[(unsigned int)v20 + 1]) << v85;
                v83 = v84 & (0xFFFFFFFF >> (32 - v85));
LABEL_88:
                *v79 = v83 | v82;
                break;
              case 0x36u:
                *(_DWORD *)v35 = v7[(unsigned int)v20 + 1];
                break;
              case 0x3Bu:
                *(_QWORD *)v35 = v7[(unsigned int)v20 + 1];
                break;
              default:
                goto def_4104;
            }
            goto def_4104;
          case 0xDu:
          case 0x15u:
          case 0x1Bu:
          case 0x28u:
            v43 = v13 & 0x3F;
            v44 = v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20);
            if ( v43 == 13 || v43 == 40 )
            {
              *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19)
                                                              + (signed __int16)v44;
            }
            else if ( v43 == 21 )
            {
              *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(signed int *)(v5 - 304 + 8 * v19)
                                                              + (signed __int64)(signed __int16)v44;
            }
            goto def_4104;
          case 0x10u:
            v56 = v13 & 0xFFF;
            if ( v56 > 2639 )
            {
              if ( v56 > 3727 )
              {
                if ( v56 != 3728 )
                {
                  if ( v56 == 3792 )
                  {
                    LODWORD(v24) = v24 | 0x20;
                  }
                  else
                  {
                    if ( v56 != 3984 )
                      goto def_4104;
                    v17 |= 0x20u;
                  }
                }
                if ( (signed int)(v24 + v17) <= 63 )
                {
                  v19 = (unsigned __int64)v7[(unsigned int)v19 + 1];
                  if ( v17 != 63 )
                    v19 = (v19 >> v24) & ~(-1LL << ((unsigned __int8)v17 + 1));
LABEL_236:
                  v27 = (signed __int64)&v7[(unsigned int)v20];
LABEL_237:
                  *(_QWORD *)(v27 + 8) = v19;
                  goto def_4104;
                }
                goto def_4104;
              }
              if ( v56 != 2640 )
              {
                if ( v56 == 2768 && v17 >= (unsigned int)v24 )
                  *(_QWORD *)(v5 - 304 + 8 * v20) = *(_DWORD *)(v5 - 304 + 8 * v20) & (-1 << v17) | ((*(_DWORD *)(v5 - 304 + 8 * v19) & ~(-1 << (1 - v24 + v17))) << v24) | *(_DWORD *)(v5 - 304 + 8 * v20) & ~(-1 << v24);
                goto def_4104;
              }
            }
            else
            {
              if ( v56 > 655 )
              {
                if ( v56 != 656 && v56 != 1680 )
                {
                  if ( v56 != 2256 )
                    goto def_4104;
                  goto LABEL_163;
                }
                v97 = v13 & 0x7C000FFF;
                if ( (signed int)(v13 & 0x7C000FFF) <= 1275069071 )
                {
                  if ( v97 == 201328272 )
                  {
                    v134 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    *(_QWORD *)(v5 - 304 + 8LL * v17) = __ROR8__(
                                                          (v134 << 16) & 0xFFFF0000FFFF0000LL | (v134 >> 16) & 0xFFFF0000FFFFLL,
                                                          32);
                  }
                  else if ( v97 == 939524752 )
                  {
                    *(_QWORD *)(v5 - 304 + 8LL * v17) = *(char *)(v5 - 304 + 8 * v20);
                  }
                  goto def_4104;
                }
                if ( v97 == 1275069072 )
                {
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = *(signed __int16 *)(v5 - 304 + 8 * v20);
                  goto def_4104;
                }
                if ( v97 == 1409287824 )
                {
                  v133 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = (v133 << 8) & 0xFF00FF00FF00FF00LL | (v133 >> 8) & 0xFF00FF00FF00FFLL;
                  goto def_4104;
                }
                if ( v97 != 1946157712 )
                  goto def_4104;
                v98 = v5 - 304;
                v99 = (*(_DWORD *)(v5 - 304 + 8 * v20) << 8) & 0xFF00FF00 | (*(_DWORD *)(v5 - 304 + 8 * v20) >> 8) & 0xFF00FF;
                goto LABEL_372;
              }
              if ( v56 == 16 )
              {
                if ( v17 + (unsigned int)v24 > 0x1F )
                  goto def_4104;
                LODWORD(v19) = v7[(unsigned int)v19 + 1];
                if ( v17 != 31 )
                  LODWORD(v19) = ((unsigned int)v19 >> v24) & ~(-2 << v17);
LABEL_92:
                v19 = (signed int)v19;
                goto LABEL_236;
              }
              if ( v56 != 144 )
                goto def_4104;
              LODWORD(v24) = v24 | 0x20;
LABEL_163:
              v17 |= 0x20u;
            }
            if ( (signed int)v17 >= (signed int)v24 )
              *(_QWORD *)(v5 - 304 + 8 * v20) = *(_QWORD *)(v5 - 304 + 8 * v20) & (-1LL << v17) | ((*(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) & ~(-1LL << ((unsigned __int8)v17 + 1 - (unsigned __int8)v24))) << v24) | *(_QWORD *)(v5 - 304 + 8 * v20) & ~(-1LL << v24);
            goto def_4104;
          case 0x11u:
          case 0x2Au:
            if ( v10 )
              goto def_4104;
            v45 = v13 & 0x3F;
            v46 = v13 & 0x3FFF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20);
            if ( v45 == 17 )
            {
              v53 = 31;
LABEL_129:
              v51 = 0;
              v55 = 0;
              v49 = *(_QWORD *)(v5 - 8) + (unsigned int)(v46 * 4);
              v54 = 1;
              goto LABEL_130;
            }
            if ( v45 == 42 )
            {
              v53 = 0;
              goto LABEL_129;
            }
            if ( v45 != 26 )
              goto def_4104;
            v47 = (signed __int64)v7[(unsigned int)v19 + 1];
            v48 = &result[v46];
            v49 = (signed __int64)(result + 2);
            v50 = (signed __int64)(v48 + 1);
            v51 = v47 < 1;
            v25 = v47 == 0;
            v52 = v47 < 0;
            v53 = 0;
            v54 = v47 > 0;
            if ( !v52 && !v25 )
              v49 = v50;
            v55 = 1;
LABEL_130:
            v91 = v55 != 0;
            v92 = v51 && v91;
            *(_QWORD *)(v5 - 24) = v49;
            if ( v92 & 1 || !v55 || v54 && v91 )
            {
              v93 = 1LL;
              if ( !v92 )
                v93 = 2LL;
              *(_QWORD *)(v5 - 32) = v93;
            }
LABEL_136:
            if ( v53 >= 1 )
            {
LABEL_137:
              v7[v53 + 1] = result + 2;
              *(_QWORD *)(v5 - 16) = result + 2;
            }
            goto def_4104;
          case 0x17u:
            LODWORD(v20) = v13 & 0x1F003F;
            HIDWORD(v58) = (v13 & 0x1F003F) - 65559;
            LODWORD(v58) = (v13 & 0x1F003F) - 65559;
            v57 = v58 >> 16;
            if ( v57 > 0x1A || !((1 << v57) & 0x4842861) || v10 )
              goto def_4104;
            v59 = v13 & 0x1F003F;
            v13 = (signed int)((v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20)) << 16) >> 14;
            if ( (signed int)(v20 & 0x1FFFFF) <= 65558 )
            {
              v60 = v59 - 3;
              v28 = 0;
              v61 = result;
              switch ( v60 )
              {
                case 0:
                case 23:
                case 42:
                case 60:
                  goto LABEL_50;
                case 2:
                case 12:
                case 41:
                case 55:
                  goto LABEL_51;
                case 14:
                  v28 = 31;
                  goto LABEL_279;
                case 39:
LABEL_279:
                  v65 = 0;
                  v66 = 0;
                  v64 = *(_QWORD *)(v5 - 8) + v13;
                  goto LABEL_290;
                default:
                  goto def_4104;
              }
              goto def_4104;
            }
            if ( v59 > 917526 )
            {
              if ( v59 > 1572886 )
              {
                if ( v59 != 1769495 )
                {
                  v25 = v59 == 1572887;
LABEL_218:
                  if ( !v25 )
                    goto def_4104;
                }
              }
              else if ( v59 != 917527 && v59 != 1245207 )
              {
                goto def_4104;
              }
            }
            else if ( v59 > 458774 )
            {
              if ( v59 != 458775 && v59 != 786455 )
                goto def_4104;
            }
            else if ( v59 != 65559 && v59 != 393239 )
            {
              goto def_4104;
            }
LABEL_50:
            v61 = 0LL;
LABEL_51:
            v62 = (signed __int64)v7[(unsigned int)v19 + 1];
            v63 = v20 & 0x1FFFFF;
            v64 = (signed __int64)result + (signed int)(v13 + 4);
            if ( v63 > 65558 )
            {
              if ( v63 > 917526 )
              {
                if ( v63 > 1572886 )
                {
                  if ( v63 == 1572887 )
                  {
                    v66 = 1;
                    if ( v62 & 0x8000000000000000LL )
                      goto LABEL_294;
                    goto LABEL_288;
                  }
                  if ( v63 == 1769495 )
                  {
                    v28 = 31;
                    v66 = 1;
                    if ( v62 & 0x8000000000000000LL )
                    {
LABEL_311:
                      v65 = 0;
LABEL_290:
                      v129 = 1;
LABEL_301:
                      v130 = v66 != 0;
                      v131 = v65 & v130;
                      *(_QWORD *)(v5 - 24) = v64;
                      if ( !(v131 & 1) && v66 && !(v129 & v130) )
                      {
LABEL_120:
                        if ( v28 < 1 )
                          goto def_4104;
LABEL_121:
                        v7[v28 + 1] = result + 2;
                        *(_QWORD *)(v5 - 16) = result + 2;
                        goto def_4104;
                      }
                      v132 = 1LL;
                      if ( !v131 )
                        v132 = 2LL;
                      *(_QWORD *)(v5 - 32) = v132;
                      if ( v28 >= 1 )
                        goto LABEL_121;
                      goto def_4104;
                    }
                    goto LABEL_300;
                  }
                }
                else
                {
                  if ( v63 == 917527 )
                  {
                    v28 = 31;
                    v66 = 1;
                    if ( !(v62 & 0x8000000000000000LL) )
                      goto LABEL_311;
                    goto LABEL_300;
                  }
                  if ( v63 == 1245207 )
                  {
                    if ( v62 & 0x8000000000000000LL )
                    {
LABEL_298:
                      v28 = 0;
LABEL_299:
                      v66 = 0;
LABEL_300:
                      v129 = 0;
                      v64 = (signed __int64)(result + 2);
                      v65 = 1;
                      goto LABEL_301;
                    }
LABEL_54:
                    v65 = 0;
                    v66 = 0;
LABEL_289:
                    v28 = 0;
                    goto LABEL_290;
                  }
                }
              }
              else if ( v63 > 458774 )
              {
                if ( v63 == 458775 )
                {
                  v66 = 1;
                  if ( !(v62 & 0x8000000000000000LL) )
                  {
LABEL_294:
                    v28 = 0;
                    goto LABEL_300;
                  }
LABEL_288:
                  v65 = 0;
                  goto LABEL_289;
                }
                if ( v63 == 786455 )
                {
                  v28 = 31;
                  if ( v62 & 0x8000000000000000LL )
                    goto LABEL_299;
LABEL_227:
                  v65 = 0;
                  v66 = 0;
                  goto LABEL_290;
                }
              }
              else
              {
                if ( v63 == 65559 )
                {
                  if ( !(v62 & 0x8000000000000000LL) )
                    goto LABEL_298;
                  goto LABEL_54;
                }
                if ( v63 == 393239 )
                {
                  v28 = 31;
                  if ( !(v62 & 0x8000000000000000LL) )
                    goto LABEL_299;
                  goto LABEL_227;
                }
              }
            }
            else
            {
              switch ( v63 )
              {
                case 3:
                  if ( v62 > 0 )
                    goto LABEL_54;
                  goto LABEL_298;
                case 5:
                  if ( (unsigned int *)v62 == v61 )
                    goto LABEL_298;
                  goto LABEL_54;
                case 15:
                  if ( (unsigned int *)v62 != v61 )
                    goto LABEL_298;
                  goto LABEL_54;
                case 26:
                  v66 = 1;
                  if ( v62 > 0 )
                    goto LABEL_288;
                  goto LABEL_294;
                case 44:
                  v66 = 1;
                  if ( (unsigned int *)v62 != v61 )
                    goto LABEL_294;
                  goto LABEL_288;
                case 45:
                  v66 = 1;
                  if ( v62 >= 1 )
                    goto LABEL_294;
                  goto LABEL_288;
                case 58:
                  v66 = 1;
                  if ( (unsigned int *)v62 != v61 )
                    goto LABEL_288;
                  goto LABEL_294;
                case 63:
                  if ( v62 >= 1 )
                    goto LABEL_298;
                  goto LABEL_54;
                default:
                  goto def_4104;
              }
            }
            goto def_4104;
          case 0x23u:
            *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) < (unsigned __int64)(signed __int16)(v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20));
            goto def_4104;
          case 0x29u:
            HIDWORD(v68) = (v13 & 0xFFF) - 425;
            LODWORD(v68) = (v13 & 0xFFF) - 425;
            v67 = v68 >> 6;
            if ( v67 > 0x1A )
              goto def_4104;
            if ( !((1 << v67) & 0x4000032) )
            {
              if ( v67 != 2 )
                goto def_4104;
              v76 = v13 & 0xFFF;
              if ( v76 > 2158 )
              {
                if ( v76 > 2542 )
                {
LABEL_67:
                  if ( v76 == 2543 )
                    goto LABEL_159;
                  if ( v76 == 2671 )
                    goto LABEL_250;
                  if ( v76 != 3375 )
                    goto def_4104;
LABEL_256:
                  v114 = v5 - 304;
                  v115 = *(_DWORD *)(v5 - 304 + 8 * v20) + *(_DWORD *)(v5 - 304 + 8 * v19);
                }
                else
                {
LABEL_157:
                  if ( v76 != 2159 )
                  {
                    if ( v76 != 2415 )
                      goto def_4104;
LABEL_159:
                    *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20)
                                                      + *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                    goto def_4104;
                  }
LABEL_250:
                  v114 = v5 - 304;
                  v115 = *(_DWORD *)(v5 - 304 + 8 * v19) - *(_DWORD *)(v5 - 304 + 8 * v20);
                }
LABEL_257:
                *(_QWORD *)(v114 + 8LL * v17) = v115;
                goto def_4104;
              }
              if ( v76 > 942 )
              {
LABEL_258:
                if ( v76 == 943 || v76 == 1775 )
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19)
                                                    - *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
              }
              else
              {
                if ( v76 == 495 )
                  goto LABEL_256;
LABEL_222:
                if ( v76 == 553 )
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = *(signed int *)(v5 - 304 + 8 * v20)
                                                    * (signed __int64)*(signed int *)(v5 - 304 + 8 * v19);
              }
              goto def_4104;
            }
            v69 = v13 & 0xFFF;
            if ( v69 <= 1902 )
            {
              if ( v69 > 744 )
              {
                if ( v69 != 745 )
                {
                  if ( v69 == 1327 )
                    goto LABEL_389;
                  if ( v69 != 1839 )
                    goto def_4104;
LABEL_187:
                  v100 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                  v101 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                  v102 = (unsigned __int128)((signed __int64)v101 * (signed __int128)(signed __int64)v100) >> 64;
LABEL_403:
                  *v12 = v101 * v100;
                  *v11 = v102;
                  goto def_4104;
                }
                v118 = *(_DWORD *)v11;
                v119 = *(_DWORD *)v12;
                v120 = *(signed int *)(v5 - 304 + 8 * v19);
                v121 = *(signed int *)(v5 - 304 + 8 * v20);
              }
              else
              {
                if ( v69 == 431 )
                  goto LABEL_391;
                if ( v69 != 489 )
                {
                  if ( v69 != 681 )
                    goto def_4104;
                  v70 = *(_DWORD *)v11;
                  v71 = *(_DWORD *)v12;
                  v72 = *(unsigned int *)(v5 - 304 + 8 * v19);
                  v73 = *(unsigned int *)(v5 - 304 + 8 * v20);
                  goto LABEL_274;
                }
                v118 = *(_DWORD *)v11;
                v119 = *(_DWORD *)v12;
                v120 = *(unsigned int *)(v5 - 304 + 8 * v19);
                v121 = *(unsigned int *)(v5 - 304 + 8 * v20);
              }
              v122 = (v119 | ((unsigned __int64)v118 << 32)) - v121 * v120;
LABEL_277:
              v123 = (unsigned int)v122;
              v124 = v122 >> 32;
LABEL_393:
              *v12 = v123;
              *v11 = v124;
              goto def_4104;
            }
            if ( v69 <= 2350 )
            {
              if ( v69 == 1903 )
                goto LABEL_402;
              if ( v69 != 2089 )
              {
                if ( v69 != 2223 )
                  goto def_4104;
                goto LABEL_153;
              }
              v70 = *(_DWORD *)v11;
              v71 = *(_DWORD *)v12;
              v72 = *(signed int *)(v5 - 304 + 8 * v19);
              v73 = *(signed int *)(v5 - 304 + 8 * v20);
LABEL_274:
              v122 = (v71 | ((unsigned __int64)v70 << 32)) + v73 * v72;
              goto LABEL_277;
            }
            if ( v69 == 2351 )
              goto LABEL_328;
            if ( v69 == 2863 )
              goto LABEL_397;
            if ( v69 != 3503 )
              goto def_4104;
            goto LABEL_191;
          case 0x2Fu:
            v74 = v13 & 0xFFF;
            HIDWORD(v75) = v74 - 111;
            LODWORD(v75) = v74 - 111;
            switch ( (unsigned int)(v75 >> 6) )
            {
              case 0u:
              case 3u:
              case 9u:
              case 0xFu:
              case 0x2Eu:
              case 0x3Du:
                goto def_4104;
              case 1u:
              case 0xBu:
              case 0x34u:
                v113 = v13 & 0x4000FFF;
                if ( (v13 & 0x4000FFF) == 67109679 )
                  v74 = 67109679;
                goto LABEL_336;
              case 2u:
                v135 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) >= *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                v136 = (_QWORD *)(v5 - 304 + 8LL * v17);
                if ( !v135 )
                  goto LABEL_355;
                goto LABEL_321;
              case 6u:
              case 0xDu:
              case 0x1Au:
              case 0x20u:
              case 0x24u:
              case 0x26u:
              case 0x28u:
              case 0x33u:
                v76 = v13 & 0xFFF;
                if ( v76 > 2158 )
                {
                  if ( v76 <= 2542 )
                    goto LABEL_157;
                  goto LABEL_67;
                }
                if ( v76 > 942 )
                  goto LABEL_258;
                if ( v76 != 495 )
                  goto LABEL_222;
                goto LABEL_256;
              case 0xAu:
              case 0x30u:
                goto LABEL_198;
              case 0xCu:
              case 0x17u:
              case 0x1Fu:
              case 0x3Cu:
                v111 = v13 & 0xFFF;
                if ( v111 > 2094 )
                {
                  if ( v111 == 2095 )
                  {
                    *(_QWORD *)(v5 - 304 + 8LL * v17) = ~(*(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) | *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19));
                  }
                  else if ( v111 == 3951 )
                  {
                    *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) & *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                  }
                }
                else if ( v111 == 879 )
                {
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) ^ *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                }
                else if ( v111 == 1583 )
                {
                  *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) | *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                }
                goto def_4104;
              case 0xEu:
              case 0x10u:
              case 0x22u:
              case 0x2Cu:
              case 0x31u:
                v106 = v13 & 0x200FFF;
                if ( (v13 & 0x200FFF) == 2099439 )
                  v74 = 2099439;
                goto LABEL_194;
              case 0x15u:
                if ( v10 )
                  goto def_4104;
                v53 = 0;
                v140 = 0LL;
                switch ( v13 & 0xFFF )
                {
                  case 3u:
                  case 0x1Au:
                  case 0x2Du:
                  case 0x3Fu:
                    goto LABEL_332;
                  case 4u:
                  case 6u:
                  case 7u:
                  case 8u:
                  case 9u:
                  case 0xAu:
                  case 0xBu:
                  case 0xCu:
                  case 0xDu:
                  case 0xEu:
                  case 0x10u:
                  case 0x12u:
                  case 0x13u:
                  case 0x14u:
                  case 0x15u:
                  case 0x16u:
                  case 0x17u:
                  case 0x18u:
                  case 0x19u:
                  case 0x1Bu:
                  case 0x1Cu:
                  case 0x1Du:
                  case 0x1Eu:
                  case 0x1Fu:
                  case 0x20u:
                  case 0x21u:
                  case 0x22u:
                  case 0x23u:
                  case 0x24u:
                  case 0x25u:
                  case 0x26u:
                  case 0x27u:
                  case 0x28u:
                  case 0x29u:
                  case 0x2Bu:
                  case 0x2Eu:
                  case 0x2Fu:
                  case 0x30u:
                  case 0x31u:
                  case 0x32u:
                  case 0x33u:
                  case 0x34u:
                  case 0x35u:
                  case 0x36u:
                  case 0x37u:
                  case 0x38u:
                  case 0x39u:
                  case 0x3Bu:
                  case 0x3Cu:
                  case 0x3Du:
                  case 0x3Eu:
                    goto def_4104;
                  case 5u:
                  case 0xFu:
                  case 0x2Cu:
                  case 0x3Au:
                    v140 = v7[v17 + 1];
LABEL_332:
                    v141 = (signed __int64)v7[(unsigned int)v19 + 1];
                    v142 = (signed __int64)result + (unsigned int)(v24 + 4);
                    switch ( (_DWORD)v141 )
                    {
                      case 0:
                        if ( v141 <= 0 )
                          goto LABEL_424;
                        goto LABEL_334;
                      case 2:
                        if ( (unsigned int *)v141 == v140 )
                          goto LABEL_424;
                        goto LABEL_334;
                      case 0xC:
                        if ( (unsigned int *)v141 == v140 )
                          goto LABEL_334;
                        goto LABEL_424;
                      case 0x17:
                        v144 = 1;
                        if ( v141 <= 0 )
                          goto LABEL_425;
                        goto LABEL_421;
                      case 0x29:
                        v144 = 1;
                        if ( (unsigned int *)v141 != v140 )
                          goto LABEL_425;
                        goto LABEL_421;
                      case 0x2A:
                        v144 = 1;
                        if ( v141 < 1 )
                          goto LABEL_421;
                        goto LABEL_425;
                      case 0x37:
                        v144 = 1;
                        if ( (unsigned int *)v141 == v140 )
                          goto LABEL_425;
LABEL_421:
                        v143 = 0;
                        goto LABEL_422;
                      case 0x3C:
                        if ( v141 >= 1 )
                        {
LABEL_424:
                          v144 = 0;
LABEL_425:
                          v150 = 0;
                          v53 = 0;
                          v142 = (signed __int64)(result + 2);
                          v143 = 1;
                          goto LABEL_432;
                        }
LABEL_334:
                        v143 = 0;
                        v144 = 0;
LABEL_422:
                        v53 = 0;
                        break;
                      default:
                        goto def_4104;
                    }
                    goto LABEL_431;
                  case 0x11u:
                    v53 = 31;
                    break;
                  case 0x2Au:
                    break;
                }
                v143 = 0;
                v144 = 0;
                v142 = *(_QWORD *)(v5 - 8) + v24;
LABEL_431:
                v150 = 1;
LABEL_432:
                v152 = v144 != 0;
                v153 = v143 & v152;
                *(_QWORD *)(v5 - 24) = v142;
                if ( !(v153 & 1) && v144 && !(v150 & v152) )
                  goto LABEL_136;
                v154 = 1LL;
                if ( !v153 )
                  v154 = 2LL;
                *(_QWORD *)(v5 - 32) = v154;
                if ( v53 >= 1 )
                  goto LABEL_137;
                goto def_4104;
              case 0x16u:
              case 0x3Eu:
                goto LABEL_338;
              case 0x18u:
                v113 = v13 & 0x4000FFF;
LABEL_336:
                if ( v113 == 67110511 )
                  v74 = 67110511;
LABEL_338:
                if ( v74 > 3438 )
                {
                  if ( v74 > 67109678 )
                  {
                    if ( v74 == 67109679 )
                    {
                      *(_QWORD *)(v5 - 304 + 8LL * v17) = __ROR8__(
                                                            *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20),
                                                            *(_BYTE *)(v5 - 304 + 8 * v19) & 0x3F);
                      goto def_4104;
                    }
                    if ( v74 != 67110511 )
                      goto def_4104;
                    v114 = v5 - 304;
                    v115 = __ROR4__(*(_DWORD *)(v5 - 304 + 8 * v20), *(_BYTE *)(v5 - 304 + 8 * v19) & 0x1F);
                  }
                  else
                  {
                    if ( v74 == 3439 )
                    {
                      *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) << (*(_BYTE *)(v5 - 304 + 8LL * (unsigned int)v19) & 0x3F);
                      goto def_4104;
                    }
                    if ( v74 != 4079 )
                      goto def_4104;
                    v114 = v5 - 304;
                    v115 = *(_DWORD *)(v5 - 304 + 8 * v20) << (*(_BYTE *)(v5 - 304 + 8 * v19) & 0x1F);
                  }
                }
                else
                {
                  if ( v74 <= 1518 )
                  {
                    if ( v74 == 175 )
                    {
                      *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) >> (*(_BYTE *)(v5 - 304 + 8LL * (unsigned int)v19) & 0x3F);
                    }
                    else if ( v74 == 815 )
                    {
                      *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) >> (*(_BYTE *)(v5 - 304 + 8LL * (unsigned int)v19) & 0x3F);
                    }
                    goto def_4104;
                  }
                  if ( v74 == 1519 )
                  {
                    v114 = v5 - 304;
                    v115 = *(_DWORD *)(v5 - 304 + 8 * v20) >> (*(_BYTE *)(v5 - 304 + 8 * v19) & 0x1F);
                  }
                  else
                  {
                    if ( v74 != 1647 )
                      goto def_4104;
                    v114 = v5 - 304;
                    v115 = *(_DWORD *)(v5 - 304 + 8 * v20) >> (*(_BYTE *)(v5 - 304 + 8 * v19) & 0x1F);
                  }
                }
                goto LABEL_257;
              case 0x29u:
                v145 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                v146 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                v87 = __OFSUB__(v145, v146);
                v52 = v145 - v146 < 0;
                v136 = (_QWORD *)(v5 - 304 + 8LL * v17);
                if ( v52 ^ v87 )
LABEL_355:
                  *v136 = 1LL;
                else
LABEL_321:
                  *v136 = 0LL;
                goto def_4104;
              case 0x2Du:
                v106 = v13 & 0x200FFF;
                goto LABEL_196;
              case 0x3Bu:
                v106 = v13 & 0x200FFF;
LABEL_194:
                if ( v106 == 2101039 )
                  v74 = 2101039;
LABEL_196:
                if ( v106 == 2100143 )
                  v74 = 2100143;
LABEL_198:
                if ( v74 <= 3182 )
                {
                  if ( v74 <= 2286 )
                  {
                    if ( v74 == 751 )
                    {
                      v98 = v5 - 304;
                      v99 = *(_DWORD *)(v5 - 304 + 8 * v20) >> v24;
                      goto LABEL_372;
                    }
                    if ( v74 != 1007 )
                    {
                      if ( v74 != 1135 )
                        goto def_4104;
                      v107 = v5 - 304;
                      v108 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                      goto LABEL_364;
                    }
                    v147 = v5 - 304;
                    v148 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    LOBYTE(v24) = v24 | 0x20;
LABEL_368:
                    *(_QWORD *)(v147 + 8LL * v17) = v148 >> v24;
                    goto def_4104;
                  }
                  if ( v74 != 2287 )
                  {
                    if ( v74 != 2927 )
                    {
                      if ( v74 != 2991 )
                        goto def_4104;
                      v98 = v5 - 304;
                      v99 = *(_DWORD *)(v5 - 304 + 8 * v20) >> v24;
                      goto LABEL_372;
                    }
                    v147 = v5 - 304;
                    v148 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    goto LABEL_368;
                  }
                  v109 = v5 - 304;
                  v110 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                  goto LABEL_366;
                }
                if ( v74 <= 2099438 )
                {
                  if ( v74 == 3183 )
                  {
                    v98 = v5 - 304;
                    v99 = *(_DWORD *)(v5 - 304 + 8 * v20) << v24;
                    goto LABEL_372;
                  }
                  if ( v74 == 3247 )
                  {
                    v107 = v5 - 304;
                    v108 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    LOBYTE(v24) = v24 | 0x20;
LABEL_364:
                    *(_QWORD *)(v107 + 8LL * v17) = v108 << v24;
                    goto def_4104;
                  }
                  if ( v74 != 3887 )
                    goto def_4104;
                  v109 = v5 - 304;
                  v110 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                  LOBYTE(v24) = v24 | 0x20;
LABEL_366:
                  *(_QWORD *)(v109 + 8LL * v17) = v110 >> v24;
                  goto def_4104;
                }
                switch ( v74 )
                {
                  case 2099439:
                    v116 = v5 - 304;
                    v117 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    break;
                  case 2100143:
                    v98 = v5 - 304;
                    v99 = __ROR4__(*(_DWORD *)(v5 - 304 + 8 * v20), v24);
LABEL_372:
                    *(_QWORD *)(v98 + 8LL * v17) = v99;
                    goto def_4104;
                  case 2101039:
                    v116 = v5 - 304;
                    v117 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    LOBYTE(v24) = v24 | 0x20;
                    break;
                  default:
                    goto def_4104;
                }
                *(_QWORD *)(v116 + 8LL * v17) = __ROR8__(v117, v24);
def_4104:
                v112 = *(_QWORD *)(v5 - 32);
                result = *v7 + 1;
                *v7 = result;
                if ( v112 == 2 )
                  goto LABEL_242;
                if ( v112 == 3 || v112 == 1 )
                {
                  result = *(unsigned int **)(v5 - 24);
                  *(_QWORD *)(v5 - 32) = 0LL;
                  *v7 = result;
                  if ( result != v6 )
                  {
LABEL_242:
                    if ( !result )
                      return result;
                    goto LABEL_3;
                  }
                }
                else if ( result != v6 )
                {
                  goto LABEL_242;
                }
                v125 = v8;
                v126 = v9;
                v127 = v11;
                v128 = v12;
                ((void (__fastcall *)(_QWORD, _QWORD))v6)(*v8, *v9);
                v11 = v127;
                result = *(unsigned int **)(v5 - 16);
                v12 = v128;
                v8 = v125;
                v9 = v126;
                *v7 = result;
                if ( !result )
                  return result;
LABEL_3:
                v10 = *(_QWORD *)(v5 - 32);
                break;
              default:
                if ( v74 <= 2350 )
                {
                  if ( v74 <= 1710 )
                  {
                    switch ( v74 )
                    {
                      case 431:
LABEL_391:
                        v138 = *(unsigned int *)(v5 - 304 + 8 * v19);
                        v139 = *(unsigned int *)(v5 - 304 + 8 * v20);
LABEL_392:
                        v149 = v139 * v138;
                        v123 = (signed int)v149;
                        v124 = v149 >> 32;
                        goto LABEL_393;
                      case 1263:
                        if ( !v7[(unsigned int)v20 + 1] )
                          goto LABEL_430;
                        break;
                      case 1327:
LABEL_389:
                        v103 = *(_DWORD *)(v5 - 304 + 8 * v19);
                        v104 = *(_DWORD *)(v5 - 304 + 8 * v20);
                        v105 = v103 / v104;
LABEL_390:
                        *v11 = (signed int)(v103 - v105 * v104);
                        *v12 = v105;
                        goto def_4104;
                    }
                  }
                  else
                  {
                    if ( v74 > 1902 )
                    {
                      if ( v74 == 1903 )
                      {
LABEL_402:
                        v100 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                        v101 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                        v102 = v101 * (unsigned __int128)v100 >> 64;
                        goto LABEL_403;
                      }
                      if ( v74 != 2223 )
                        goto def_4104;
LABEL_153:
                      v94 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                      v95 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                      v96 = v94 / v95;
LABEL_398:
                      *v11 = v94 - v96 * v95;
                      *v12 = v96;
                      goto def_4104;
                    }
                    if ( v74 != 1711 )
                    {
                      if ( v74 != 1839 )
                        goto def_4104;
                      goto LABEL_187;
                    }
                    if ( !v10 )
                    {
                      v151 = v7[(unsigned int)v19 + 1];
                      ++result;
                      *(_QWORD *)(v5 - 32) = 2LL;
                      *(_QWORD *)(v5 - 24) = v151;
                      *v7 = result;
                      if ( !result )
                        return result;
                      goto LABEL_3;
                    }
                  }
                }
                else
                {
                  if ( v74 > 3502 )
                  {
                    if ( v74 > 3630 )
                    {
                      if ( v74 == 3631 )
                      {
                        v137 = (unsigned int *)*v11;
                        goto LABEL_440;
                      }
                      if ( v74 != 3759 || !v7[(unsigned int)v20 + 1] )
                        goto def_4104;
LABEL_430:
                      *(_QWORD *)(v5 - 304 + 8LL * v17) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                      goto def_4104;
                    }
                    if ( v74 != 3503 )
                    {
                      if ( v74 == 3567 )
                        *v12 = (unsigned __int64)v7[(unsigned int)v19 + 1];
                      goto def_4104;
                    }
LABEL_191:
                    v103 = *(_DWORD *)(v5 - 304 + 8 * v19);
                    v104 = *(_DWORD *)(v5 - 304 + 8 * v20);
                    v105 = v103 / (signed int)v104;
                    goto LABEL_390;
                  }
                  if ( v74 > 2862 )
                  {
                    if ( v74 != 2863 )
                    {
                      if ( v74 == 3311 )
                        *v11 = (unsigned __int64)v7[(unsigned int)v19 + 1];
                      goto def_4104;
                    }
LABEL_397:
                    v94 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19);
                    v95 = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20);
                    v96 = v94 / (signed __int64)v95;
                    goto LABEL_398;
                  }
                  if ( v74 == 2351 )
                  {
LABEL_328:
                    v138 = *(signed int *)(v5 - 304 + 8 * v19);
                    v139 = *(signed int *)(v5 - 304 + 8 * v20);
                    goto LABEL_392;
                  }
                  if ( v74 == 2479 )
                  {
                    v137 = (unsigned int *)*v12;
LABEL_440:
                    v7[v17 + 1] = v137;
                    goto def_4104;
                  }
                }
                goto def_4104;
            }
            break;
          case 0x32u:
            *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v20) = *(_QWORD *)(v5 - 304 + 8LL * (unsigned int)v19) < (signed __int64)(signed __int16)(v13 & 0xF000 | (v22 >> 20) | (v13 >> 6) & 0x3F | (v23 >> 20) | (v14 >> 20) | (v15 >> 20) | (v16 >> 20) | (v21 >> 20));
            goto def_4104;
          default:
            goto def_4104;
        }
        break;
      }
    }
  }
  return result;
}
```
控制流图：
 ![图片描述](upload/attach/202503/770147_MFNAGXWEC3SABTA.webp)
反编译代码完全看不懂处理的逻辑，并且控制流非常复杂。有点像控制流平坦化混淆，结合了虚假控制流等，因为在控制流上有非常多平行的基本块，通过一个 dispatch 在分发。但是控制流平坦化的逻辑是每个基本块末尾会有一个常量衔接了另一个基本块。而且控制流平坦化一般不涉及到对函数参数的处理，涉及的一般是基本块或指令。这个应该是虚拟机混淆。

再次查看函数 sub_2BD4 的汇编指令，发现函数头部 SP, SP, #0x520 申请的栈空间特别大，函数内部只需要很小的栈空间，然后参数5中传入 sp+0x510，栈中的一个地址，所以参数5指向的栈地址，应该是虚拟机的内存和context所需的内存大小，在函数sub_2BD4栈中分配，但是并没有初始化操作，只是将这个栈内存指针传递到了 sub_2D28 这个虚拟机函数，那么在虚拟机函数中一定会做初始化。

分析虚拟机函数：

```
.text:0000000000002D28 sub_2D28                                ; CODE XREF: sub_2BD4+54↑p
.text:0000000000002D28
.text:0000000000002D28 var_58          = -0x58
.text:0000000000002D28 var_50          = -0x50
.text:0000000000002D28 var_40          = -0x40
.text:0000000000002D28 var_30          = -0x30
.text:0000000000002D28 var_20          = -0x20
.text:0000000000002D28 var_10          = -0x10
.text:0000000000002D28 var_s0          =  0
.text:0000000000002D28
.text:0000000000002D28 ; __unwind {
.text:0000000000002D28                 SUB             SP, SP, #0x70      函数分配栈空间
.text:0000000000002D2C                 STP             X28, X27, [SP,#0x60+var_50]   开始保存上个函数的寄存器环境
.text:0000000000002D30                 STP             X26, X25, [SP,#0x60+var_40]
.text:0000000000002D34                 STP             X24, X23, [SP,#0x60+var_30]
.text:0000000000002D38                 STP             X22, X21, [SP,#0x60+var_20]
.text:0000000000002D3C                 STP             X20, X19, [SP,#0x60+var_10]
.text:0000000000002D40                 STP             X29, X30, [SP,#0x60+var_s0]
.text:0000000000002D44                 ADD             X29, SP, #0x60     X29是当前函数开始可用的局部变量空间
.text:0000000000002D48                 LDP             X20, X19, [X4]     X4是传入的第5个参数，也就是函数 sub_2D1C 和 虚拟内存的起始地址（上一个函数的栈帧中），保存在X20和X19中
.text:0000000000002D4C                 SUB             X8, X19, #0x130    X8 = X19 - 0x130
.text:0000000000002D50                 STUR            XZR, [X19,#-0x38]  [X19 -0x38] = 0
.text:0000000000002D54                 STR             XZR, [X8]          [X19 - 0x130] = 0
.text:0000000000002D58                 SUB             X8, X19, #0x148    X8 = X19 - 0x148
.text:0000000000002D5C                 SUB             X21, X19, #0x138   X21 = X19 - 0x138
.text:0000000000002D60                 AND             X8, X8, #0xFFFFFFFFFFFFFFF0   16字节对齐
.text:0000000000002D64                 SUB             X4, X19, #0x110    X4 = X19 - 0x110
.text:0000000000002D68                 SUB             X5, X19, #0x108    X5 = X19 - 0x108
.text:0000000000002D6C                 STUR            X8, [X19,#-0x48]   [X19 - 0x48] = X8 = X19 - 0x148
.text:0000000000002D70                 STUR            XZR, [X19,#-0x20]   [X19 - 0x20] = 0
.text:0000000000002D74                 STR             X1, [X4]            [X19 - 0x110] = X1 = 参数2，函数参数指针，传入的jbyte* 等参数
.text:0000000000002D78                 STR             X2, [X5]            [X19 - 0x108] = X2 = 0, 参数3 是0
.text:0000000000002D7C                 STP             X3, X20, [X19,#-0x100]   [X19-0x100] = 参数4 = 一个地址数组。 [X19- 0xF8] = X20 = sub_2D1C 函数地址
.text:0000000000002D80                 STR             X0, [X21]           [X19 - 0x138] = X0 = 参数1，可能是字节码序列
.text:0000000000002D84                 STUR            X0, [X19,#-8]       [X19 - 0x8] = X0
.text:0000000000002D88                 CBZ             X0, loc_4654        校验X0值是否正确，loc_4654是虚拟机函数结束
.text:0000000000002D8C                 MOV             W23, #0x32F         W23 = 0x32F
.text:0000000000002D90                 MOV             W24, #0xFFF
.text:0000000000002D94                 ADRP            X28, #jpt_2E4C@PAGE  这些应该是跳转表
.text:0000000000002D98                 ADRP            X22, #jpt_2E94@PAGE
.text:0000000000002D9C                 ADRP            X27, #jpt_2F18@PAGE
.text:0000000000002DA0                 ADRP            X25, #jpt_2FB8@PAGE
.text:0000000000002DA4                 MOV             X1, XZR            X1 = 0
.text:0000000000002DA8                 SUB             X6, X19, #0x28     x6 = x19 - 0x28
.text:0000000000002DAC                 SUB             X7, X19, #0x30     X7 = X19 - 0x30
.text:0000000000002DB0                 MOVK            W23, #0x400,LSL#16    W23[16:31] = (0x400 << 16) --> W23 = 0x0400032F
.text:0000000000002DB4                 MOVK            W24, #0x20,LSL#16     W24[16:31] = (0x0020 << 16) --> W24 = 0x00200FFF
.text:0000000000002DB8                 MOV             W26, #3            W26 = 3
.text:0000000000002DBC                 ADD             X28, X28, #jpt_2E4C@PAGEOFF
.text:0000000000002DC0                 ADD             X22, X22, #jpt_2E94@PAGEOFF
.text:0000000000002DC4                 MOV             W30, #0x20                    W30 = 0x20
.text:0000000000002DC8                 ADD             X27, X27, #jpt_2F18@PAGEOFF
.text:0000000000002DCC                 ADD             X25, X25, #jpt_2FB8@PAGEOFF
.text:0000000000002DD0                 B               loc_2DD8
```
虚拟机函数的第一个基本块，保存了虚拟机函数所需要的 5 个参数,

参数1保存在 [X19 - 0x138]，同时也在寄存器 X0中。
参数2保存在  [X19 - 0x110]，这是一个参数指针，指针里有4个原函数运行参数。
参数3保存在 [X19 - 0x108]，值为0。
参数4保存在  [X19-0x100]，是一个地址数组
参数5的部分 [X19- 0xF8]，是一个函数地址

接着给部分寄存器赋值常量和跳转表，无跳转跳转到  loc_2DD8 运行，因此继续分析   loc_2DD8 处的汇编指令：

```
.text:0000000000002DD4 loc_2DD4                                ; CODE XREF: sub_2D28:loc_3C54↓j
.text:0000000000002DD4                                         ; sub_2D28+11A8↓j ...
.text:0000000000002DD4                 LDUR            X1, [X19,#-0x20]
.text:0000000000002DD8
.text:0000000000002DD8 loc_2DD8                                ; CODE XREF: sub_2D28+A8↑j
.text:0000000000002DD8                 LDR             W12, [X0]        从字节序列中取出4字节保存到 W12
.text:0000000000002DDC                 CMP             X1, #2           判断X1寄存器的值是否等于2，虚拟机函数第一个基本块执行完后 X1 = 0
.text:0000000000002DE0                 B.EQ            loc_4248         等于2则跳转到 loc_4248
.text:0000000000002DE4
.text:0000000000002DE4 loc_2DE4                                ; CODE XREF: sub_2D28+1528↓j
.text:0000000000002DE4                 AND             W10, W12, #0x3F ; switch 64 cases     W10 = w12 & 0x3F, 取低6位
.text:0000000000002DE8                 CMP             W10, #0x3F ; switch 64 cases   W10 大于 0x3F时跳转到 def_4104
.text:0000000000002DEC                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002DEC                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002DEC                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002DF0                 LSR             W11, W12, #0xB     W11 = W12 >> 0xB，即右移 11位
.text:0000000000002DF4                 AND             W14, W11, #2       W14 = W11 & 0x2 , w14保留 w12 第 13 位
.text:0000000000002DF8                 LDRSW           X3, [X28,X10,LSL#2]   X3 = [X28 + X10 * 4], X28是 jpt_2E4C跳转表，X10此时是字节码的低6位。
.text:0000000000002DFC                 AND             W16, W12, #0x10000000  W16 = W12 & 0x10000000 低28位清0，保留第29位
.text:0000000000002E00                 AND             W2, W11, #4            W2 = W11 & 0x4   -> w2 取 W12 的第 14位,保存在第3位
.text:0000000000002E04                 BFXIL           W14, W12, #0x1F, #1    W14[0] = W12[31]-> w14 取 W12的第 32位,保存在 0 位
.text:0000000000002E08                 ORR             W14, W14, W2           或运算后  W14包含 W12的第 13、 14位和第32位 ，第14位保存在第3位
.text:0000000000002E0C                 AND             W2, W11, #8            w2 = w11 & 0x8   -> w2 取 w12 第 15位
.text:0000000000002E10                 AND             W10, W11, #0x10        w10 = w11 &0x10  -> w10取 w12 第 16位
.text:0000000000002E14                 LSR             W11, W16, #0x1A        w11 = w16 >> 0x1A，即右移26   --> w11[2] = w12[28]
.text:0000000000002E18                 AND             W15, W12, #0x20000000  w15 保留 w12第 30 位
.text:0000000000002E1C                 ORR             W2, W14, W2            或运算后，w2 取 w12 第 13、14、15、32位
.text:0000000000002E20                 BFXIL           W11, W12, #0x1A, #2    w11 取 w12 第 27、28位       --> w11[0-1] = w12[26:27]
.text:0000000000002E24                 AND             W14, W12, #0x40000000  w14保留w12 第31位
.text:0000000000002E28                 ORR             W10, W2, W10           w10 取 w12 第13、14、15、16、32位
.text:0000000000002E2C                 ORR             W11, W11, W15,LSR#26   w11 = w11 | (w15 >> 26) ---> w11[3] = w12[29]
.text:0000000000002E30                 ADD             X2, X3, X28            X2指向实际的跳转地址
.text:0000000000002E34                 UBFX            W9, W12, #0x15, #5     W9 = W12[21:25]
.text:0000000000002E38                 UBFX            W8, W12, #0x10, #5     W8 = W12[16:20]
.text:0000000000002E3C
.text:0000000000002E3C loc_2E3C                                ; CODE XREF: sub_2D28+16C↓j
.text:0000000000002E3C                 AND             W13, W12, #0x80000000 ; jumptable 0000000000002E94 case 58    W16 = W12 & 0x80000000 低31位清0，保留第32位 w13[31] = w12[31]
.text:0000000000002E40                 AND             W18, W12, #0x4000000                                          W18 = W12 & 0x4000000 低26位清0，保留第27位 w18[26] = w12[26]
.text:0000000000002E44
.text:0000000000002E44 loc_2E44                                ; CODE XREF: sub_2D28+16C↓j
.text:0000000000002E44                 AND             W17, W12, #0x8000000 ; jumptable 0000000000002E94 case 56     W17 = W12 & 0x8000000 低27位清0，保留第28位 w17[27] = w12[27]
.text:0000000000002E48                 ORR             W11, W11, W14,LSR#26   w11 = w11 | ( w14 >> 26)  ---> w11[4] = w12[30]
.text:0000000000002E4C                 BR              X2      ; switch jump
```
上述的代码块像是取值和分发环节，从 X0 寄存器取出4字节，保存到 W12中， 低 6 位W12[0-5]作为操作码，是一个索引，根据这个索引定位到跳转地址。W8 = W12[16:20]，W9 = W12[21:25]，W10 = W12[ 31，12:15]，W11 = W12[26:30]，还有 6-11位域没有处理。

接下来就是指令的译码环节：
字节码指令的起始位置是 0xB2C0，结束位置在B5B3：
 ![图片描述](upload/attach/202503/770147_5BJGDKE9X6SCD58.webp)

字节码的总长度是 0x2F4，每个指令占4个字节，因此一共有0xBD个指令，十进制是 189个 ，写一个脚本统计字节码中出现的所有操作码：

```
f = open("c:\\Users\\Administrator\\Desktop\\libEncryptor.so", "rb")
 
data = f.read()
 
start = 0xB2C0
lens = 0x2F4
nums = int(lens / 4)
 
maps = {}
 
for i in range(nums):
    opcode = data[start + i * 4]
    op = opcode & 0x3F    # 小端表示，操作码在首位
    if op in maps.keys():
        maps[op] += 1
    else:
        maps[op] = 1
 
for k, v in maps.items():
    print("{0}: {1}".format(k, v))
```
输出如下：
40: 28
59: 56
47: 57
2: 38
15: 2
42: 2
4: 1
62: 1
21: 2
54: 2

先分析出现最多的操作码：47，X28存放了跳转表的起始地址，文件偏移 0xA960处：
 ![图片描述](upload/attach/202503/770147_X4ZCUQ4QTKSNNQ4.webp)
跳转地址保存在 0xA960 + 47 * 4 = 0xAA1C处：
 ![图片描述](upload/attach/202503/770147_WSABDR9Y2E4TSUQ.webp)
跳转地址是 loc_333C：

```
.text:000000000000333C loc_333C                                ; CODE XREF: sub_2D28+124↑j
.text:000000000000333C                                         ; DATA XREF: .rodata:000000000000AA1C↓o
.text:000000000000333C                 AND             W13, W12, #0xFFF ; jumptable 0000000000002E4C case 47
.text:0000000000003340                 SUB             W14, W13, #0x6F
.text:0000000000003344                 EXTR            W14, W14, W14, #6                 W14 = W12[6 - 11]取6位数据，前面分析过暂时没有使用的6位数据
.text:0000000000003348                 CMP             W14, #0x3E ; switch 63 cases      再次判断
.text:000000000000334C                 B.HI            def_3360 ; jumptable 0000000000003360 default case
.text:0000000000003350                 ADRP            X15, #jpt_3360@PAGE
.text:0000000000003354                 ADD             X15, X15, #jpt_3360@PAGEOFF       跳转表，在文件偏移 0xAFD8
.text:0000000000003358                 LDRSW           X14, [X15,X14,LSL#2]              X14 = [X15 + X14 * 4] 定位到跳转地址
.text:000000000000335C                 ADD             X14, X14, X15
.text:0000000000003360                 BR              X14     ; switch jump             跳转
```
再次解析字节码，当 opcode = 47时，输出第二个操作码：

```
f = open("c:\\Users\\Administrator\\Desktop\\libEncryptor.so", "rb")
 
data = f.read()
 
start = 0xB2C0
lens = 0x2F4
nums = int(lens / 4)
 
maps = {}
maps_47 = {}
 
for i in range(nums):
    opcode = data[start + i * 4]
    op = opcode & 0x3F    # 小端表示，操作码在首位
    if op == 47:
        op2 = (((data[start + i * 4 + 1] << 8) + opcode) & 0xFFF) >> 6
        if op2 in maps_47.keys():
            maps_47[op2] += 1
        else:
            maps_47[op2] = 1
    else:
        if op in maps.keys():
            maps[op] += 1
        else:
            maps[op] = 1
 
for k, v in maps.items():
    print("op1: {0}: {1}".format(k, v))
 
for k, v in maps_47.items():
    print("op1: 47, op2: {0}: {1}".format(k, v))
```
输出如下：
op1: 40: 28
op1: 59: 56
op1: 2: 38
op1: 15: 2
op1: 42: 2
op1: 4: 1
op1: 62: 1
op1: 21: 2
op1: 54: 2
op1: 47, op2: 24: 30
op1: 47, op2: 3: 1
op1: 47, op2: 49: 2
op1: 47, op2: 39: 8
op1: 47, op2: 22: 15
op1: 47, op2: 26: 1

当 op2 = 24时，跳转地址保存在 0xAFD8 + 4 * 24 = 0xB038：
 ![图片描述](upload/attach/202503/770147_M4ZWBTF6DQ66QNR.webp)
因此 op1 = 47 & op2 = 24的解码地址是 loc_411c：

```
.text:0000000000002DB0                 MOVK            W23, #0x400,LSL#16    W23[16:31] = (0x400 << 16) --> W23 = 0x0400032F
.text:0000000000002DB4                 MOVK            W24, #0x20,LSL#16     W24[16:31] = (0x0020 << 16) --> W24 = 0x00200FFF
```
loc_41AC：

```
.text:00000000000041AC loc_41AC                                ; CODE XREF: sub_2D28+1414↑j
.text:00000000000041AC                 CMP             W13, #0x5EF
.text:00000000000041B0                 B.EQ            loc_4370                  W13等于 0x5EF时跳转
.text:00000000000041B4                 CMP             W13, #0x66F               不等于 0x66F时跳转
.text:00000000000041B8                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:00000000000041B8                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:00000000000041B8                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:00000000000041BC                 ADD             X11, X21, #8
.text:00000000000041C0                 LSL             X9, X9, #3
.text:00000000000041C4                 LDR             W9, [X11,X9]
.text:00000000000041C8                 LSL             X8, X8, #3
.text:00000000000041CC                 LDR             W8, [X11,X8]
.text:00000000000041D0                 AND             W9, W9, #0x1F
.text:00000000000041D4                 LSR             W8, W8, W9
.text:00000000000041D8                 B               loc_3D18
```
def_4104（应该是虚拟指令执行结束后的尾部）：

```
.text:0000000000003C24 def_4104                                ; CODE XREF: sub_2D28+C4↑j
.text:0000000000003C24                                         ; sub_2D28+124↑j ...
.text:0000000000003C24                 LDR             X9, [X21] ; jumptable 0000000000002E4C default case               X21 = X19 - 0x138，X19是传入到虚拟机的上个函数栈帧内存，应该是用作虚拟机内存，这里X9 = X21,虚拟机入口赋值为X0，即传入的opcode地址
.text:0000000000003C24                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003C24                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003C28                 LDUR            X8, [X19,#-0x20]   X8 = [X19 - 0x20] = 0
.text:0000000000003C2C                 ADD             X0, X9, #4         X0 = X9 + 0x4 ---> opcode地址移动4位，即将会取下一个字节码
.text:0000000000003C30                 CMP             X8, #2
.text:0000000000003C34                 STR             X0, [X21]          [X21] = X0，这里可以看出 X21寄存器用于保存当前字节码地址
.text:0000000000003C38                 B.EQ            loc_3C54
.text:0000000000003C3C                 CMP             X8, #3
.text:0000000000003C40                 B.EQ            loc_3E70
.text:0000000000003C44                 CMP             X8, #1
.text:0000000000003C48                 B.EQ            loc_3E70           X8即 [X19 - 0x20] 的值会和 1、2、3分别比较，如果相等则跳转到对应的分支，虚拟机 初始化时这个值是0
.text:0000000000003C4C                 CMP             X0, X20            X20在虚拟机初始化后是 sub_2D1C 函数地址，这个函数传入2个参数，第一个参数是一个地址，函数中直接调用这个地址，这里可能是外部函数调用时，将X0赋值给这个跳板函数。
.text:0000000000003C50                 B.EQ            loc_3E84
.text:0000000000003C54
.text:0000000000003C54 loc_3C54                                ; CODE XREF: sub_2D28+F10↑j
.text:0000000000003C54                                         ; sub_2D28+1158↓j
.text:0000000000003C54                 CBNZ            X0, loc_2DD4       X0不为0时跳转,正常解码时这个值应该不为0
.text:0000000000003C58                 B               loc_4654
```
这个基本块执行后，更新了当前字节码的地址，保存到了X21寄存器只想的内存中。但是还没有完成当前指令的功能。跳回到了 loc_2DD4 ，回到了指令分发块。 可能这个指令的前面会设置控制变量  [X19 - 0x20] 的值，1、2、3会跳转到不同分支继续执行。

先跳过这个指令，分析 op1 = 59 的情况：
跳转地址保存在 0xA960 + 59 * 4 = 0xAA4C处：
 ![图片描述](upload/attach/202503/770147_4VES73Z84RRFNHE.webp)
跳转地址位于 loc_2F70：

```
.text:0000000000002F70 loc_2F70                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000002F70                                         ; DATA XREF: .rodata:000000000000A988↓o ...
.text:0000000000002F70                 AND             W10, W12, #0x3F ; jumptable 0000000000002E4C cases 10,11,14,20,22,36,54,59         W10 = W12 & 0x3F --> 对应op1
.text:0000000000002F74                 SUB             W10, W10, #0xA ; switch 50 cases                                                   W10 = W10 - 0xA 减去10
.text:0000000000002F78                 CMP             W10, #0x31                                                                         与 0x31比较 也就是 49  59 -10 = 49 正好等于，下面不跳转
.text:0000000000002F7C                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002F7C                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002F7C                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002F80                 UBFX            W11, W12, #6, #6             W11[0:5] = W12[6:11]   op2
.text:0000000000002F84                 AND             W12, W12, #0xF000            W12 = W12 & 0xF000       W12 = W12[12:15],只保留 12-15这4位   W[12:15] = W12[12:15]
.text:0000000000002F88                 BFXIL           W12, W18, #0x14, #0xC        W12[0:11] = W18[20:31]   W18[26] = W12[26]      W12[6] = W12[26]
.text:0000000000002F8C                 ORR             W11, W12, W11                W11 = W12 | W11                                 W11[12:15] = W12[12:15], W11[6] = W12[26]
.text:0000000000002F90                 ADD             X9, X21, W9,UXTW#3           X9 = X21 + W9 * 8   虚拟机初始化后 X21 = X19 - 0x138，X19是传入虚拟机的一段地址，初试时 [X21] = X0 = pOpcode，这里可以认为X21虚拟寄存器环境指针，这里X9是一个虚拟寄存器地址
.text:0000000000002F94                 LDRSW           X10, [X25,X10,LSL#2]         X25是跳转表 jpt_2FB8 地址，对应地址 0xAD28, X10 是 op1 - 10 后的偏移， 即 X10 = [0xAD28 + 49 * 4] = [0xADEC]
.text:0000000000002F98                 ORR             W11, W11, W17,LSR#20         W11 = W11 | (W17 >> 20)  W17保留了字节码第28位，即 W12[27] -->放入 W11[7]
.text:0000000000002F9C                 LDR             X9, [X9,#8]                  X9 = [X9 + 8] ，取出对应虚拟寄存器的值，寄存器的索引是W9  
.text:0000000000002FA0                 ORR             W11, W11, W16,LSR#20         W11 = W11 | (W16 >> 20) W16保留了字节码第29位，即 W12[28]  -->放入 W11[8]
.text:0000000000002FA4                 ORR             W11, W11, W15,LSR#20         W11 = W11 | (W15 >> 20) W15保留了字节码第30位，即 W12[29]  -->放入 W11[9]
.text:0000000000002FA8                 ORR             W11, W11, W14,LSR#20         W11 = W11 | (W14 >> 20) W14保留了字节码第31位，即 W12[30]  -->放入 W11[10]
.text:0000000000002FAC                 ORR             W11, W11, W13,LSR#20         W11 = W11 | (W13 >> 20) W13保留了字节码第32位，即 W12[31]  -->放入 W11[11]
.text:0000000000002FB0                 ADD             X10, X10, X25
.text:0000000000002FB4                 ADD             X9, X9, W11,SXTH             W11是一个16位符号数
.text:0000000000002FB8                 BR              X10     ; switch jump
```
上述基本块从W12寄存器中提取出一个16位的常数，具体提取方式是 W11[0:5] = W12[6:11] ，W11[6] = W12[26] W11[7:11] = W12[27:31]，W11[12:15] = W12[12:15] ， W9 = W12[21:25] 取出了一个虚拟寄存器的地址，这是一个索引，ADD X9, X21, W9,UXTW#3 计算虚拟寄存器的具体地址，接着  LDR X9, [X9,#8] 取出虚拟寄存器的值 ADD X9, X9, W11,SXTH，虚拟寄存器的值+常数偏移 →  X9 = vXn + imm
 ![图片描述](upload/attach/202503/770147_R692J5PV43563JB.webp)
跳转到 loc_356C继续执行：
 ![图片描述](upload/attach/202503/770147_3TQTQHD4GPU874J.webp)
W8 = W12[16:20],也是从字节码中提取的一个虚拟寄存器索引， ADD X8, X21, W8, UXTW#3 ，得到虚拟寄存器的实际地址， LDR X8, [X8, #8],得到虚拟寄存器的值保存在X8, STR X8. [X9],即将一个虚拟寄存器的值保存在另一个虚拟寄存器指向的地址+偏移处。
通过上面分析可知，W12[21:25] 是目标寄存器索引，W12[16:20]是源寄存器索引，W12[6:11, 26, 27:31, 12:15] 是常数 ，**即 op1 = 59 的指令是 STR Xn , [Xd + imm]，是一个存储指令。**

**接着分析 op1 = 2时的指令处理流程：**
 ![图片描述](upload/attach/202503/770147_4W34ET6R5BCVAGH.webp)
跳转地址在 loc_2E50：

```
.text:0000000000002E50 loc_2E50                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000002E50                                         ; DATA XREF: .rodata:jpt_2E4C↓o ...
.text:0000000000002E50                 AND             W10, W12, #0x3F ; jumptable 0000000000002E4C cases 0,2,8,18,31,33,34,39,43,48,49,51,55   取op
.text:0000000000002E54                 CMP             W10, #0x37                                                                               不能大于0x37
.text:0000000000002E58                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002E58                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002E58                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002E5C                 UBFX            W11, W12, #6, #6        W11[0:5] = W12[6:11]
.text:0000000000002E60                 AND             W12, W12, #0xF000       W12[12:15] 保留，其余位清0
.text:0000000000002E64                 BFXIL           W12, W18, #0x14, #0xC   W12[0:11] = W18[20:31]   W18[26] = W12[26]   ->   W12[6] = W12[26],这个操作实际上就是取W12[26] 保存到 W12[6]，W12[12:15]不变
.text:0000000000002E68                 ORR             W11, W12, W11           W11 = W12 | W11 --> W11[0:5] = W12[6:11] & W11[6] = W12[26] --> W11[0:5,6] = W12[6:11, 26]，W11[12:15] = W12[12:15]
.text:0000000000002E6C                 ADD             X9, X21, W9,UXTW#3      W9是虚拟寄存器下标
.text:0000000000002E70                 LDRSW           X10, [X22,X10,LSL#2]    根据op1 得到跳转地址 0xAA60 + 2 * 4 = 0xAA68，对应地址 loc_33D8
.text:0000000000002E74                 ORR             W11, W11, W17,LSR#20    同前一个op的分析-> W11[7] = W12[27]
.text:0000000000002E78                 LDR             X9, [X9,#8]             获取虚拟寄存器值
.text:0000000000002E7C                 ORR             W11, W11, W16,LSR#20                       W11[8] = W12[28]
.text:0000000000002E80                 ORR             W11, W11, W15,LSR#20                       W11[9] = W12[29]
.text:0000000000002E84                 ORR             W11, W11, W14,LSR#20                       W11[10] = W12[30]
.text:0000000000002E88                 ORR             W11, W11, W13,LSR#20                       W11[11] = W12[31]
.text:0000000000002E8C                 ADD             X10, X10, X22                              得到跳转地址                        
.text:0000000000002E90                 ADD             X9, X9, W11,SXTH                           虚拟寄存器值 + 偏移                    
.text:0000000000002E94                 BR              X10     ; switch jump
```
字节码的常量是 W12[6:11, 26, 27:31, 12:15] 组成，同上一个指令一样。 W8 = W12[16:20]，W9 = W12[21:25] ， 这里取 W9作为虚拟寄存器 + imm得到一个内存地址，继续看跳转后 loc_ox33D8逻辑：
 ![图片描述](upload/attach/202503/770147_MKMXGYH55V5WAC4.webp)
这里很简单，从虚拟原寄存器+偏移指向的地址取出值，保存到X9，然后跳转到 loc_3C1C：

```
.text:0000000000003C1C loc_3C1C                                ; CODE XREF: sub_2D28+6AC↑j
.text:0000000000003C1C                                         ; sub_2D28+6B4↑j ...
.text:0000000000003C1C                 ADD             X8, X21, W8,UXTW#3                取W8指向的虚拟寄存器地址（并非寄存器本身）
.text:0000000000003C20
.text:0000000000003C20 loc_3C20                                ; CODE XREF: sub_2D28+1A0↑j
.text:0000000000003C20                                         ; sub_2D28+6EC↑j ...
.text:0000000000003C20                 STR             X9, [X8,#8]                       写入虚拟寄存器        
.text:0000000000003C24
.text:0000000000003C24 def_4104                                ; CODE XREF: sub_2D28+C4↑j
.text:0000000000003C24                                         ; sub_2D28+124↑j ...
.text:0000000000003C24                 LDR             X9, [X21] ; jumptable 0000000000002E4C default case
.text:0000000000003C24                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003C24                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003C28                 LDUR            X8, [X19,#-0x20]
.text:0000000000003C2C                 ADD             X0, X9, #4
.text:0000000000003C30                 CMP             X8, #2
.text:0000000000003C34                 STR             X0, [X21]
.text:0000000000003C38                 B.EQ            loc_3C54
.text:0000000000003C3C                 CMP             X8, #3
.text:0000000000003C40                 B.EQ            loc_3E70
.text:0000000000003C44                 CMP             X8, #1
.text:0000000000003C48                 B.EQ            loc_3E70
.text:0000000000003C4C                 CMP             X0, X20
.text:0000000000003C50                 B.EQ            loc_3E84
.text:0000000000003C54
.text:0000000000003C54 loc_3C54                                ; CODE XREF: sub_2D28+F10↑j
.text:0000000000003C54                                         ; sub_2D28+1158↓j
.text:0000000000003C54                 CBNZ            X0, loc_2DD4
.text:0000000000003C58                 B               loc_4654
```
W8 是另一个虚拟寄存器偏移，X21 + W8 * 8，指向了虚拟寄存器地址，STR  X9, [X8,#8] 即将上一步从虚拟寄存器+偏移地址处的值，保存到了W8指向的虚拟寄存器。所以这是一个LOAD指令： **LOAD Xd, [Xn, #imme]**，目的寄存器 = [源寄存器+常量]

其中 W8 是目的寄存器索引，W9 是源寄存器索引

后面 def_4104 的操作就是把虚拟 PC 的指针移动 4 个字节，因为每次取的字节码就是 4 个字节。然后判断 [X19,#-0x20] 的值是否是 1 2 3，分别对应不同的操作，最后判断X0，也就是虚拟PC的值是否是0，如果不是0，则跳转到 loc_2DD4 进行下一轮的取值和分发

所以 def_4104 应该是每个虚拟指令结束后的公共操作，主要作用是 移动PC 到下一个虚拟指令地址，并通过 [X19,#-0x20]  这个状态控制变量决定是否做其他操作，暂时未分析到对 [X19,#-0x20] 赋值的地方。

**接着分析op1 = 40时的流程：**
跳转地址保存在 A960 + 40 * 4 = AA00 → loc_3044

```
.text:0000000000003044 loc_3044                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000003044                                         ; DATA XREF: .rodata:000000000000A994↓o ...
.text:0000000000003044                 AND             W0, W12, #0xF000 ; jumptable 0000000000002E4C cases 13,21,27,40      W0[12:15] = W12[12:15]
.text:0000000000003048                 UBFX            W10, W12, #6, #6                                                     W10[0:5] = W12[6:11]
.text:000000000000304C                 BFXIL           W0, W18, #0x14, #0xC              W0[0:11] = W18[20:31] -> W0[6] = W12[26]
.text:0000000000003050                 ORR             W10, W0, W10                      W10[0:5,6,12:15] = W12[6:11,26,12:15]
.text:0000000000003054                 ORR             W10, W10, W17,LSR#20              W10[7] = W12[27]
.text:0000000000003058                 ORR             W10, W10, W16,LSR#20              W10[8] = W12[28]
.text:000000000000305C                 ORR             W10, W10, W15,LSR#20              W10[9] = W12[29]
.text:0000000000003060                 AND             W11, W12, #0x3F
.text:0000000000003064                 ORR             W10, W10, W14,LSR#20              W10[10] = W12[30]
.text:0000000000003068                 CMP             W11, #0xD
.text:000000000000306C                 ORR             W10, W10, W13,LSR#20              W10[11] = W12[31] ---> 到此取出了一个常量，同上一个指令一样
.text:0000000000003070                 B.EQ            loc_3144
.text:0000000000003074                 CMP             W11, #0x28           0x28 即十进制 40，因此跳到 loc_3144
.text:0000000000003078                 B.EQ            loc_3144
.text:000000000000307C                 CMP             W11, #0x15
.text:0000000000003080                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000003080                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003080                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003084                 ADD             X11, X21, #8
.text:0000000000003088                 LSL             X9, X9, #3
.text:000000000000308C                 LDRSW           X9, [X11,X9]
.text:0000000000003090                 SXTH            W10, W10
.text:0000000000003094                 ADD             X9, X9, W10,SXTW
.text:0000000000003098                 STR             X9, [X11,W8,UXTW#3]
.text:000000000000309C                 B               def_4104 ;
```
这里看起来对应了多个 case 的跳转，W10 是从指令中取出来的一个常量，op = 40 和 13 的下一步处理都在 loc_3144

```
.text:0000000000003144 loc_3144                                ; CODE XREF: sub_2D28+348↑j
.text:0000000000003144                                         ; sub_2D28+350↑j
.text:0000000000003144                 ADD             X11, X21, #8            虚拟机环境指针
.text:0000000000003148                 LDR             X9, [X11,W9,UXTW#3]     取W9指向虚拟寄存器的值
.text:000000000000314C                 ADD             X9, X9, W10,SXTH        Xn + #imme ---> 源寄存器 + 常量
.text:0000000000003150                 STR             X9, [X11,W8,UXTW#3]     保存到W8表示的虚拟寄存器
.text:0000000000003154                 B               def_4104 ;              通用解码末尾
```
上面分析可知，op1 = 40 是一个加法指令，W8表示目标寄存器， W9表示源寄存器，指令是 ADD Xd，Xn，#imme。16位常量是  W12[6:11,27:31,26,12:15]

**接着分析op1 = 15流程：**
 A960 + 15 * 4 = A99C →loc_2ECC：

```
.text:0000000000002ECC loc_2ECC                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000002ECC                                         ; DATA XREF: .rodata:000000000000A96C↓o ...
.text:0000000000002ECC                 CBNZ            X1, def_4104 ; jumptable 0000000000002E4C cases 3,5,15,26,44,45,58,63    X1 不是0就跳走了,虚拟机初始化后X1 = 0并保存到 [X19,#-0x20], 指令取码时，X1 = [X19,#-0x20],这是一个控制变量
.text:0000000000002ED0                 AND             W10, W12, #0x3F    W10 = W12 & 0x3F = 15
.text:0000000000002ED4                 SUB             W1, W10, #3 ; switch 61 cases     W1 = W10 - 3
.text:0000000000002ED8                 CMP             W1, #0x3C
.text:0000000000002EDC                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002EDC                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002EDC                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002EE0                 AND             W3, W12, #0xF000   这里开始分析，看起来跟前面一样，取出一个常量
.text:0000000000002EE4                 UBFX            W2, W12, #6, #6
.text:0000000000002EE8                 BFXIL           W3, W18, #0x14, #0xC
.text:0000000000002EEC                 ORR             W18, W3, W2
.text:0000000000002EF0                 LDRSW           X1, [X27,X1,LSL#2]   后前面一样有二次跳转
.text:0000000000002EF4                 ORR             W17, W18, W17,LSR#20
.text:0000000000002EF8                 ORR             W16, W17, W16,LSR#20
.text:0000000000002EFC                 ORR             W15, W16, W15,LSR#20
.text:0000000000002F00                 ORR             W14, W15, W14,LSR#20
.text:0000000000002F04                 ORR             W13, W14, W13,LSR#20
.text:0000000000002F08                 ADD             X14, X1, X27              --> 拿到了跳转地址，即 X27 + （op1-3） * 4 处, X27 = 0xAB40 --> op1 = 15时跳转地址是 0x2F1C
.text:0000000000002F0C                 MOV             W10, WZR                 W10 = 0
.text:0000000000002F10                 MOV             X11, XZR                 X11 = 0
.text:0000000000002F14                 SBFIZ           W13, W13, #2, #0x10
.text:0000000000002F18                 BR              X14     ; switch jump
```
跳转到 0x2F1C：

```
.text:0000000000002F1C loc_2F1C                                ; CODE XREF: sub_2D28+1F0↑j
.text:0000000000002F1C                                         ; DATA XREF: .rodata:000000000000AB48↓o ...
.text:0000000000002F1C                 ADD             X8, X21, W8,UXTW#3 ; jumptable 0000000000002F18 cases 5,15,44,58     取出W8虚拟寄存器地址
.text:0000000000002F20                 LDR             X11, [X8,#8]                                                         取出虚拟寄存器值，赋值给 X11
.text:0000000000002F24
.text:0000000000002F24 loc_2F24                                ; CODE XREF: sub_2D28+1F0↑j
.text:0000000000002F24                                         ; DATA XREF: .rodata:jpt_2F18↓o ...
.text:0000000000002F24                 AND             W8, W12, #0x3F ; jumptable 0000000000002F18 cases 3,26,45,63          W8 = op1
.text:0000000000002F28                 SUB             W8, W8, #3 ; switch 61 cases                                          W8 = op1 - 3
.text:0000000000002F2C                 CMP             W8, #0x3C                                                                        
.text:0000000000002F30                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002F30                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002F30                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002F34                 ADRP            X10, #jpt_2F58@PAGE
.text:0000000000002F38                 ADD             X10, X10, #jpt_2F58@PAGEOFF
.text:0000000000002F3C                 MOV             X12, X10               跳转的基地址
.text:0000000000002F40                 LDRSW           X8, [X12,X8,LSL#2]          (op1 - 3) * 4 + X12， 这里op = 15 时跳转地址是 0x35C8
.text:0000000000002F44                 ADD             X9, X21, W9,UXTW#3         W9虚拟寄存器地址
.text:0000000000002F48                 LDR             X9, [X9,#8]                取出寄存器保存在 X9
.text:0000000000002F4C                 ADD             W10, W13, #4
.text:0000000000002F50                 ADD             X12, X8, X12
.text:0000000000002F54                 ADD             X8, X0, W10,SXTW
.text:0000000000002F58                 BR              X12     ; switch jump
```
地址 0x35C8：

```
.text:00000000000035C8 loc_35C8                                ; CODE XREF: sub_2D28+230↑j
.text:00000000000035C8                                         ; DATA XREF: .rodata:000000000000AC64↓o
.text:00000000000035C8                 CMP             X9, X11 ; jumptable 0000000000002F58 case 15   比较 X9 和 X11两个寄存器的值，这里对应两个虚拟寄存器，这里应该是一个比较指令
.text:00000000000035CC                 B.NE            loc_3628
.text:00000000000035D0                 B               loc_2F64
```
如果 X9 = X11，跳转到0x2F64，否则跳转到 0x3628 ：

```
X9 = X11时
.text:0000000000002F64 loc_2F64                                ; CODE XREF: sub_2D28+898↓j                                
.text:0000000000002F64                                         ; sub_2D28+8A8↓j ...
.text:0000000000002F64                 MOV             W11, WZR                    W11 = 0
.text:0000000000002F68                 MOV             W9, WZR                     W9 = 0
.text:0000000000002F6C                 B               loc_3614
 
 
.text:0000000000003614 loc_3614                                ; CODE XREF: sub_2D28+244↑j
.text:0000000000003614                 MOV             W10, WZR                    W10 = 0
.text:0000000000003618                 MOV             W12, #1                     W12 = 1
.text:000000000000361C                 B               loc_363C
 
 
 
 
X9 != X11 时
.text:0000000000003628 loc_3628                                ; CODE XREF: sub_2D28+238↑j
.text:0000000000003628                                         ; sub_2D28+89C↑j ...
.text:0000000000003628                 MOV             W9, WZR                  W9 = 0
.text:000000000000362C
.text:000000000000362C loc_362C                                ; CODE XREF: sub_2D28+8B8↑j
.text:000000000000362C                                         ; sub_2D28+8C8↑j ...
.text:000000000000362C                 MOV             W12, WZR                 W12 = 0
.text:0000000000003630                 MOV             W10, WZR                 W10 = 0
.text:0000000000003634                 ADD             X8, X0, #8               X8 = X0 + 8
.text:0000000000003638                 MOV             W11, #1                  W11 = 1
 
 
上述分析可知，X9 = X11时（两个虚拟寄存器值相等）W11 = 0, W12 = 1,否则 W11 = 1, W12 = 0，X8 = X0 + 8. 公共部分：W9 = 0, W10 = 0
 
 
最终都到 loc_363C
.text:000000000000363C loc_363C                                ; CODE XREF: sub_2D28+890↑j
.text:000000000000363C                                         ; sub_2D28+8F4↑j
.text:000000000000363C                 CMP             W9, #0
.text:0000000000003640                 CSET            W13, NE           这里 W13 = 0,因为前面两个肯定相等
.text:0000000000003644                 AND             W11, W11, W13     W11 = W11 + W13 = W11 -> 当 X9 = X11 时，W11 = 0, 否则 W11 = 1
.text:0000000000003648                 STUR            X8, [X19,#-0x18]  X19 - 0x18还没使用过 X8是当前指令后两个指令。
.text:000000000000364C                 TBNZ            W11, #0, loc_365C
.text:0000000000003650                 CBZ             W9, loc_365C      这里一定会跳转到 loc_365c
.text:0000000000003654                 AND             W8, W12, W13
.text:0000000000003658                 CBZ             W8, loc_366C
.text:000000000000365C
.text:000000000000365C loc_365C                                ; CODE XREF: sub_2D28+924↑j
.text:000000000000365C                                         ; sub_2D28+928↑j
.text:000000000000365C                 CMP             W11, #0
.text:0000000000003660                 MOV             W8, #1
.text:0000000000003664                 CINC            X8, X8, EQ         当 W11 = 0 时， X8 = X8 +1 --->即 Xm = Xn时，x8 = 2， 否则 x8 = 1
.text:0000000000003668                 STUR            X8, [X19,#-0x20]     这里有操作控制变量，所以控制变量会在 CMP指令中设置。
.text:000000000000366C
.text:000000000000366C loc_366C                                ; CODE XREF: sub_2D28+930↑j
.text:000000000000366C                                         ; sub_2D28+1250↓j
.text:000000000000366C                 CMP             W10, #1           小于
.text:0000000000003670                 B.LT            def_4104 ;        跳转结尾
```
这里像是一个比较指令，CMP Xn, Xm，比较后设置相关的虚拟寄存器值和控制变量的值。保存PC指针值到  [X19,#-0x18]，这里PC指针值可能会根据指令中的常量计算得到。

有些指令会设置控制变量，以及指令之间有前后关联，这次根据虚拟指令的执行顺序，逐个分析：

op1 = 40   ADD
op1 = 59   STR 
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 47, op2 = 24
op1 = 2   LOAD
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 40
op1 = 59
op1 = 2
op1 = 47, op2 = 3
op1 = 15
op1 = 47, op2 = 49
op1 = 42
op1 = 59
op1 = 59
op1 = 4
op1 = 62
op1 = 47, op2 = 39
op1 = 59
op1 = 47, op2 = 39
op1 = 59
op1 = 47, op2 = 39
op1 = 59
op1 = 47, op2 = 39
op1 = 59
op1 = 47, op2 = 39
op1 = 59
op1 = 47, op2 = 39
op1 = 47, op2 = 39
op1 = 47, op2 = 39
op1 = 40
op1 = 59
op1 = 40
op1 = 47, op2 = 24
op1 = 47, op2 = 24
op1 = 59
op1 = 47, op2 = 22
op1 = 59
op1 = 59
op1 = 2
op1 = 59
op1 = 40
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 40
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 59
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 2
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 40
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 2
op1 = 59
op1 = 2
op1 = 59
op1 = 59
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 40
op1 = 40
op1 = 40
op1 = 59
op1 = 59
op1 = 59
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 40
op1 = 59
op1 = 47, op2 = 24
op1 = 59
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 21
op1 = 59
op1 = 2
op1 = 59
op1 = 54
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 40
op1 = 40
op1 = 21
op1 = 40
op1 = 59
op1 = 54
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 59
op1 = 2
op1 = 40
op1 = 59
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 40
op1 = 2
op1 = 15
op1 = 47, op2 = 49
op1 = 40
op1 = 2
op1 = 42
op1 = 59
op1 = 2
op1 = 59
op1 = 59
op1 = 40
op1 = 2
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 59
op1 = 40
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 40
op1 = 59
op1 = 47, op2 = 24
op1 = 47, op2 = 22
op1 = 47, op2 = 24
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 2
op1 = 47, op2 = 26
op1 = 40

那么接下来分析  op1 = 47, op2 = 24 对应的指令：
op1 = 47 时的跳转基地值位于 0xAFD8，op2=24 时，跳转地址保存在 0xAFD8 + 24 * 4 = 0xB038，实际地址为 loc_411C：

```
.text:000000000000411C loc_411C                                ; CODE XREF: sub_2D28+638↑j
.text:000000000000411C                                         ; DATA XREF: .rodata:000000000000B038↓o
.text:000000000000411C                 ADD             W11, W23, #0xCD0 ; jumptable 0000000000003360 case 24 W23 = 0x0400032F, W11 = W23 & 0xCD0 = 0
.text:0000000000004120                 AND             W11, W12, W11.                                                          W11 = W12 & W11 = 0
.text:0000000000004124
.text:0000000000004124 loc_4124                                ; CODE XREF: sub_2D28+F74↑j
.text:0000000000004124                 ADD             W12, W23, #0x340                                       W12 = W23 & 0x340 = 0x300
.text:0000000000004128                 CMP             W11, W12                                               W11 != W12
.text:000000000000412C                 CSEL            W13, W12, W13, EQ                                      W13 = W13, w13[31] = w12[31]
.text:0000000000004130
.text:0000000000004130 loc_4130                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000004130                                         ; DATA XREF: .rodata:000000000000B030↓o ...
.text:0000000000004130                 CMP             W13, #0xD6E ; jumptable 0000000000003360 cases 22,62
.text:0000000000004134                 B.GT            loc_416C
.text:0000000000004138                 CMP             W13, #0x5EE
.text:000000000000413C                 B.GT            loc_41AC
.text:0000000000004140                 CMP             W13, #0xAF
.text:0000000000004144                 B.EQ            loc_4338
.text:0000000000004148                 CMP             W13, #0x32F
.text:000000000000414C                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:000000000000414C                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:000000000000414C                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000004150                 ADD             X11, X21, #8             虚拟 context 指针
.text:0000000000004154                 LDR             X9, [X11,W9,UXTW#3]      虚拟寄存器 1
.text:0000000000004158                 LDR             X8, [X11,W8,UXTW#3]      虚拟寄存器 2
.text:000000000000415C                 AND             X9, X9, #0x3F            Xn & 0x3F
.text:0000000000004160                 LSR             X8, X8, X9.              Xt = Xt >> (Xn & 0x3F)
.text:0000000000004164                 STR             X8, [X11,W10,UXTW#3].    Xd = Xt >> (Xn & 0x3F)
.text:0000000000004168                 B               def_4104
```
所以这个虚拟指令的含义是  Xd = Xt >> (Xn & 0x3F) ，是一个右移位运算，将一个虚拟寄存器的值取低 6 位，这个值就是移动的次数。

接下啦分析 op1 = 47, op2 = 3 对应的虚拟指令：
跳转地址保存在 0xAFE4中，跳转地址是 def_4104 （前面分析过这是一个虚拟指令执行后的共用结尾，但是里面有判断控制变量后二次跳转，以及下一个opcode不为0时，跳转到 loc_2DD4）：

loc_2DD4对应取操作码和分发。所以啥都没干，这是一个 NOP指令？

接下来分析 op1 = 47, op2 = 49，这是CMP指令的下一条指令，跳转地址保存在 49 * 4 + 0xAFD8 = 0xB09C：
 ![图片描述](upload/attach/202503/770147_Q6CNPAH469M8DNP.webp)

```
.text:0000000000003A38 loc_3A38                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003A38                                         ; DATA XREF: .rodata:000000000000B010↓o ...
.text:0000000000003A38                 AND             W9, W12, W24 ; jumptable 0000000000003360 cases 14,16,34,44,49    W24 = 0x00200FFF, W9 = W12 & W24   0xC6F
.text:0000000000003A3C                 SUB             W12, W24, #0x710                                                  W12 = W24 - 0x710 = 0x2008EF
.text:0000000000003A40                 CMP             W9, W12
.text:0000000000003A44                 CSEL            W13, W12, W13, EQ        不等  W13 = W13
.text:0000000000003A48
.text:0000000000003A48 loc_3A48                                ; CODE XREF: sub_2D28+151C↓j
.text:0000000000003A48                 SUB             W12, W24, #0xD0                                                   W12 = W24 - 0xD0 = 0x200F2F                         
.text:0000000000003A4C                 CMP             W9, W12                       
.text:0000000000003A50                 CSEL            W13, W12, W13, EQ
.text:0000000000003A54
.text:0000000000003A54 loc_3A54                                ; CODE XREF: sub_2D28+1514↓j
.text:0000000000003A54                 SUB             W12, W24, #0x450                                                   W12 = 0x200BAF
.text:0000000000003A58                 CMP             W9, W12
.text:0000000000003A5C                 CSEL            W13, W12, W13, EQ
.text:0000000000003A60
.text:0000000000003A60 loc_3A60                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003A60                                         ; DATA XREF: .rodata:000000000000B000↓o ...
.text:0000000000003A60                 CMP             W13, #0xC6E ; jumptable 0000000000003360 cases 10,48
.text:0000000000003A64                 B.GT            loc_3A94               大于 跳转
.text:0000000000003A68                 CMP             W13, #0x8EE
.text:0000000000003A6C                 B.GT            loc_3D4C
.text:0000000000003A70                 CMP             W13, #0x2EF
.text:0000000000003A74                 B.EQ            loc_4288
.text:0000000000003A78                 CMP             W13, #0x3EF
.text:0000000000003A7C                 B.EQ            loc_429C
.text:0000000000003A80                 CMP             W13, #0x46F
.text:0000000000003A84                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000003A84                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003A84                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003A88                 ADD             X9, X21, #8
.text:0000000000003A8C                 LDR             X8, [X9,W8,UXTW#3]
.text:0000000000003A90                 B               loc_42D4
 
 
跳转
.text:0000000000003A94 loc_3A94                                ; CODE XREF: sub_2D28+D3C↑j
.text:0000000000003A94                 MOV             W9, #0x8EE
.text:0000000000003A98                 MOVK            W9, #0x20,LSL#16
.text:0000000000003A9C                 CMP             W13, W9
.text:0000000000003AA0                 B.GT            loc_3D78
.text:0000000000003AA4                 CMP             W13, #0xC6F
.text:0000000000003AA8                 B.EQ            loc_42B0
 
 
.text:00000000000042B0 loc_42B0                                ; CODE XREF: sub_2D28+D80↑j
.text:00000000000042B0                 ADD             X9, X21, #8
.text:00000000000042B4                 LSL             X8, X8, #3
.text:00000000000042B8                 LDR             W8, [X9,X8]       虚拟寄存器值
.text:00000000000042BC                 LSL             W8, W8, W11
.text:00000000000042C0                 B               loc_432C
 
 
.text:000000000000432C loc_432C                                ; CODE XREF: sub_2D28+CAC↑j
.text:000000000000432C                                         ; sub_2D28+104C↑j ...
.text:000000000000432C                 SXTW            X8, W8
.text:0000000000004330                 STR             X8, [X9,W10,UXTW#3]  Xd = Xn << Xt
.text:0000000000004334                 B               def_4104
```
这个虚拟指令像是  LSL Xd , Xn, Xt

接下来分析 op1 = 42：

```
.text:00000000000030A0 loc_30A0                                ; CODE XREF: sub_2D28+124↑j
.text:00000000000030A0                                         ; DATA XREF: .rodata:000000000000A9A4↓o ...
.text:00000000000030A0                 CBNZ            X1, def_4104 ; jumptable 0000000000002E4C cases 17,42      控制变量需为 0
.text:00000000000030A4                 AND             W11, W12, #0x3FFF000
.text:00000000000030A8                 UBFX            W10, W12, #6, #6
.text:00000000000030AC                 BFXIL           W11, W18, #0x14, #0xC
.text:00000000000030B0                 ORR             W10, W11, W10
.text:00000000000030B4                 ORR             W10, W10, W17,LSR#20
.text:00000000000030B8                 ORR             W10, W10, W16,LSR#20
.text:00000000000030BC                 ORR             W10, W10, W15,LSR#20
.text:00000000000030C0                 ORR             W10, W10, W14,LSR#20
.text:00000000000030C4                 AND             W8, W12, #0x3F
.text:00000000000030C8                 ORR             W10, W10, W13,LSR#20           W10是取出的常量
.text:00000000000030CC                 CMP             W8, #0x11
.text:00000000000030D0                 LSL             W12, W10, #2                   W12 = W10 * 4
.text:00000000000030D4                 B.EQ            loc_36B0
.text:00000000000030D8                 CMP             W8, #0x2A      42
.text:00000000000030DC                 B.EQ            loc_36B8       跳转
 
.text:00000000000036B8 loc_36B8                                ; CODE XREF: sub_2D28+3B4↑j
.text:00000000000036B8                 MOV             W8, WZR              W8 = 0
.text:00000000000036BC
.text:00000000000036BC loc_36BC                                ; CODE XREF: sub_2D28+98C↑j
.text:00000000000036BC                 LDUR            X9, [X19,#-8]          X0字节码首地址
.text:00000000000036C0                 MOV             W11, WZR               W11 = 0
.text:00000000000036C4                 MOV             W10, WZR               W10 = 0
.text:00000000000036C8                 ADD             X12, X9, W12,UXTW      下一个字节码地址
.text:00000000000036CC                 MOV             W9, #1
.text:00000000000036D0
.text:00000000000036D0 loc_36D0                                ; CODE XREF: sub_2D28+3F0↑j
.text:00000000000036D0                 CMP             W10, #0
.text:00000000000036D4                 CSET            W13, NE
.text:00000000000036D8                 AND             W11, W11, W13
.text:00000000000036DC                 STUR            X12, [X19,#-0x18]    保存跳转地址？
.text:00000000000036E0                 TBNZ            W11, #0, loc_36F0
.text:00000000000036E4                 CBZ             W10, loc_36F0        跳转
.text:00000000000036E8                 AND             W9, W9, W13
.text:00000000000036EC                 CBZ             W9, loc_3700
.text:00000000000036F0
.text:00000000000036F0 loc_36F0                                ; CODE XREF: sub_2D28+9B8↑j
.text:00000000000036F0                                         ; sub_2D28+9BC↑j
.text:00000000000036F0                 CMP             W11, #0
.text:00000000000036F4                 MOV             W9, #1
.text:00000000000036F8                 CINC            X9, X9, EQ               X9 = 2
.text:00000000000036FC                 STUR            X9, [X19,#-0x20]         [X19,#-0x20] = 2   
.text:0000000000003700
.text:0000000000003700 loc_3700                                ; CODE XREF: sub_2D28+9C4↑j
.text:0000000000003700                                         ; sub_2D28+18FC↓j
.text:0000000000003700                 CMP             W8, #1
.text:0000000000003704                 B.LT            def_4104
```
上述汇编块主要做了两件事， [X19,#-0x18] 保存下一个指令地址，指令地址跟指令中的常数有关，  [X19,#-0x20] = 2

继续分析 op1 =  4：

```
.text:0000000000002FEC loc_2FEC                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000002FEC                                         ; DATA XREF: .rodata:000000000000A970↓o ...
.text:0000000000002FEC                 AND             W0, W12, #0xF000 ; jumptable 0000000000002E4C cases 4,32,56,62
.text:0000000000002FF0                 UBFX            W10, W12, #6, #6
.text:0000000000002FF4                 BFXIL           W0, W18, #0x14, #0xC
.text:0000000000002FF8                 ORR             W10, W0, W10
.text:0000000000002FFC                 ORR             W10, W10, W17,LSR#20
.text:0000000000003000                 ORR             W10, W10, W16,LSR#20
.text:0000000000003004                 ORR             W10, W10, W15,LSR#20
.text:0000000000003008                 AND             W11, W12, #0x3F
.text:000000000000300C                 ORR             W10, W10, W14,LSR#20
.text:0000000000003010                 CMP             W11, #0x37
.text:0000000000003014                 ORR             W10, W10, W13,LSR#20              W10是取出的常量
.text:0000000000003018                 B.GT            loc_311C
.text:000000000000301C                 CMP             W11, #4
.text:0000000000003020                 B.EQ            loc_357C
 
 
.text:000000000000357C loc_357C                                ; CODE XREF: sub_2D28+2F8↑j
.text:000000000000357C                 LSL             W9, W10, #0x10                        还是常量
.text:0000000000003580
.text:0000000000003580 loc_3580                                ; CODE XREF: sub_2D28+F4C↓j
.text:0000000000003580                                         ; sub_2D28+F60↓j
.text:0000000000003580                 SXTW            X9, W9
.text:0000000000003584                 B               loc_3C1C
 
 
.text:0000000000003C1C loc_3C1C                                ; CODE XREF: sub_2D28+6AC↑j
.text:0000000000003C1C                                         ; sub_2D28+6B4↑j ...
.text:0000000000003C1C                 ADD             X8, X21, W8,UXTW#3                             W8虚拟寄存器地址
.text:0000000000003C20
.text:0000000000003C20 loc_3C20                                ; CODE XREF: sub_2D28+1A0↑j
.text:0000000000003C20                                         ; sub_2D28+6EC↑j ...
.text:0000000000003C20                 STR             X9, [X8,#8]                                常量赋值操作
.text:0000000000003C24
.text:0000000000003C24 def_4104

```
这是一个常量移位运算和赋值  MOV Xd, #imee, LSL #0x16.

下一个 op1 = 62：

```
.text:0000000000002FEC loc_2FEC                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000002FEC                                         ; DATA XREF: .rodata:000000000000A970↓o ...
.text:0000000000002FEC                 AND             W0, W12, #0xF000 ; jumptable 0000000000002E4C cases 4,32,56,62
.text:0000000000002FF0                 UBFX            W10, W12, #6, #6
.text:0000000000002FF4                 BFXIL           W0, W18, #0x14, #0xC
.text:0000000000002FF8                 ORR             W10, W0, W10
.text:0000000000002FFC                 ORR             W10, W10, W17,LSR#20
.text:0000000000003000                 ORR             W10, W10, W16,LSR#20
.text:0000000000003004                 ORR             W10, W10, W15,LSR#20
.text:0000000000003008                 AND             W11, W12, #0x3F
.text:000000000000300C                 ORR             W10, W10, W14,LSR#20
.text:0000000000003010                 CMP             W11, #0x37                                62 - > 0x3E
.text:0000000000003014                 ORR             W10, W10, W13,LSR#20                      同上一个指令，取出常量到 W10
.text:0000000000003018                 B.GT            loc_311C
 
 
.text:000000000000311C loc_311C                                ; CODE XREF: sub_2D28+2F0↑j
.text:000000000000311C                 CMP             W11, #0x38
.text:0000000000003120                 B.EQ            loc_3588
.text:0000000000003124                 CMP             W11, #0x3E            相等，不等则跳出了
.text:0000000000003128                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000003128                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003128                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:000000000000312C                 ADD             X11, X21, #8
.text:0000000000003130                 LDR             X9, [X11,W9,UXTW#3]              W9指向的虚拟寄存器
.text:0000000000003134                 AND             W10, W10, #0xFFFF                W10只取16位
.text:0000000000003138                 ORR             X9, X9, X10                      或运算， X9 = X9 | X10
.text:000000000000313C                 STR             X9, [X11,W8,UXTW#3]              Xd = Xn | (#imme & 0xFFFF)
.text:0000000000003140                 B               def_4104 ;
```
这是一个或运算， Xd = Xn | （#imme &  0xFFFF）, 只对低16位进行或运算操作。

下一个 op1 = 47, op2 = 39，跳转地址保存在 0xB074：

```
.text:000000000000404C def_3360                                ; CODE XREF: sub_2D28+624↑j
.text:000000000000404C                                         ; sub_2D28+638↑j
.text:000000000000404C                                         ; DATA XREF: ...
.text:000000000000404C                 CMP             W13, #0x92E ; jumptable 0000000000003360 default case
.text:0000000000004050                 B.LE            loc_43B0
.text:0000000000004054                 CMP             W13, #0xDAE
.text:0000000000004058                 B.GT            loc_43D4
.text:000000000000405C                 CMP             W13, #0xB2E
.text:0000000000004060                 B.GT            loc_4484
.text:0000000000004064                 CMP             W13, #0x92F
.text:0000000000004068                 B.EQ            loc_407C
.text:000000000000406C                 CMP             W13, #0x9AF
.text:0000000000004070                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000004070                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000004070                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000004074                 LDR             X8, [X7]
.text:0000000000004078                 B               loc_4648
```
**这个跳转好像有问题，先分析下一个**

**分析了几次 op1 = 47 的情况发现有问题，发现handler都不太对，再次分析 op1 = 47时，对op2的分发情况：**

```
.text:000000000000333C loc_333C                                ; CODE XREF: sub_2D28+124↑j
.text:000000000000333C                                         ; DATA XREF: .rodata:000000000000AA1C↓o
.text:000000000000333C                 AND             W13, W12, #0xFFF ; jumptable 0000000000002E4C case 47
.text:0000000000003340                 SUB             W14, W13, #0x6F                   !!!问题出现在这里!!!
.text:0000000000003344                 EXTR            W14, W14, W14, #6                 W14 = W12[6 - 11]取6位数据，前面分析过暂时没有使用的6位数据
.text:0000000000003348                 CMP             W14, #0x3E ; switch 63 cases      再次判断
.text:000000000000334C                 B.HI            def_3360 ; jumptable 0000000000003360 default case
.text:0000000000003350                 ADRP            X15, #jpt_3360@PAGE
.text:0000000000003354                 ADD             X15, X15, #jpt_3360@PAGEOFF       跳转表，在文件偏移 0xAFD8
.text:0000000000003358                 LDRSW           X14, [X15,X14,LSL#2]              X14 = [X15 + X14 * 4] 定位到跳转地址
.text:000000000000335C                 ADD             X14, X14, X15
.text:0000000000003360                 BR              X14     ; switch jump             跳转
```
**问题出现在 SUB W14, W13, #0x6F 没有分析对，0x6F是7位，一个op用6位编码，而47对应的十六进制是 0x2F，因此 当 op1 = 0x2f时， (W13 - 0x6F) >> 6 等同于 (W13 >> 6) -1，等同于 op2 -1 ，即二次跳转的下标是 op2 -1，不是op2**

再次分析 op1 = 47 &  op2 = 24：
0xAFD8 + 23 * 4 = 0xB034，跳转地址是 loc_3AD0 （**IDA后面的case 干扰了分析，不仔细分析还以为是下一个**）：

![图片描述](upload/attach/202503/770147_J3GGMEE27UUC9N3.webp)

```
.text:0000000000003AD0 loc_3AD0                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003AD0                                         ; DATA XREF: .rodata:000000000000B008↓o ...
.text:0000000000003AD0                 AND             W11, W12, #0xFFF ; jumptable 0000000000003360 cases 12,23,31,60
.text:0000000000003AD4                 CMP             W11, #0x82E
.text:0000000000003AD8                 B.GT            loc_3DB8
.text:0000000000003ADC                 CMP             W11, #0x36F
.text:0000000000003AE0                 B.EQ            loc_4254
.text:0000000000003AE4                 CMP             W11, #0x62F       正是 0x62F
.text:0000000000003AE8                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000003AE8                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003AE8                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003AEC                 ADD             X11, X21, #8
.text:0000000000003AF0                 LDR             X9, [X11,W9,UXTW#3]     取W9指向的虚拟寄存器
.text:0000000000003AF4                 LDR             X8, [X11,W8,UXTW#3]     取W8指向的虚拟寄存器
.text:0000000000003AF8                 ORR             X8, X8, X9              X8 = X8 | X9
.text:0000000000003AFC                 STR             X8, [X11,W10,UXTW#3]    保存到 W10指向的虚拟寄存器
.text:0000000000003B00                 B               def_4104 ;              执行下一条指令
```
上面的代码块可以明显看出，对应的虚拟指令是  ORR Xd, Xn, Xt，是一个或运算指令。

再次分析 op1 = 47, op2 = 3：

```
.text:000000000000402C loc_402C                                ; CODE XREF: sub_2D28+638↑j
.text:000000000000402C                                         ; DATA XREF: .rodata:000000000000AFE0↓o
.text:000000000000402C                 ADD             X11, X21, #8 ; jumptable 0000000000003360 case 2
.text:0000000000004030                 LDR             X9, [X11,W9,UXTW#3]          虚拟寄存器->X9
.text:0000000000004034                 LDR             X8, [X11,W8,UXTW#3]          虚拟寄存器->X8
.text:0000000000004038                 CMP             X9, X8                       比较
.text:000000000000403C                 ADD             X8, X11, W10,UXTW#3          W10虚拟寄存器下标
.text:0000000000004040                 B.CC            loc_422C                     当X9 < X8时，跳转
.text:0000000000004044
.text:0000000000004044 loc_4044                                ; CODE XREF: sub_2D28+1500↓j
.text:0000000000004044                 STR             XZR, [X8]                    Xd = 0
.text:0000000000004048                 B               def_4104 ;
 
 
.text:000000000000422C loc_422C                                ; CODE XREF: sub_2D28+1318↑j
.text:000000000000422C                 MOV             W9, #1
.text:0000000000004230                 STR             X9, [X8]                     Xd = 1
.text:0000000000004234                 B               def_4104
```
所以这个指令是 CMP Xn, Xt;  SET Xd, LT。比较两个寄存器的值，如果小于，则设置目标寄存器为1，否则设置为0

再次分析 op1 = 47, op2 = 49，跳转地址保存在 0xB098，跳转地址是loc_3A60：

```
.text:0000000000003A60 loc_3A60                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003A60                                         ; DATA XREF: .rodata:000000000000B000↓o ...
.text:0000000000003A60                 CMP             W13, #0xC6E ; jumptable 0000000000003360 cases 10,48    0xC6F
.text:0000000000003A64                 B.GT            loc_3A94                                                大于，跳转
 
 
.text:0000000000003A94 loc_3A94                                ; CODE XREF: sub_2D28+D3C↑j
.text:0000000000003A94                 MOV             W9, #0x8EE
.text:0000000000003A98                 MOVK            W9, #0x20,LSL#16
.text:0000000000003A9C                 CMP             W13, W9
.text:0000000000003AA0                 B.GT            loc_3D78
.text:0000000000003AA4                 CMP             W13, #0xC6F            就是这个
.text:0000000000003AA8                 B.EQ            loc_42B0
 
 
.text:00000000000042B0 loc_42B0                                ; CODE XREF: sub_2D28+D80↑j
.text:00000000000042B0                 ADD             X9, X21, #8
.text:00000000000042B4                 LSL             X8, X8, #3
.text:00000000000042B8                 LDR             W8, [X9,X8]           W8 虚拟寄存器
.text:00000000000042BC                 LSL             W8, W8, W11           W8 = W8 << W11
.text:00000000000042C0                 B               loc_432C
 
 
.text:000000000000432C loc_432C                                ; CODE XREF: sub_2D28+CAC↑j
.text:000000000000432C                                         ; sub_2D28+104C↑j ...
.text:000000000000432C                 SXTW            X8, W8
.text:0000000000004330                 STR             X8, [X9,W10,UXTW#3]           W10虚拟寄存器
.text:0000000000004334                 B               def_4104
```
这个指令是 LSL Xd, Xn , #imme ，将一个寄存器的值，左移指定位数，保存到另一个寄存器。这里的 #imme是 W11的值，也就是某个虚拟寄存器的下标，这里直接使用当成了位移的个数，当W11 = 0，时，就是一个NOP指令

再次分析 op1 = 47, op2 = 39，跳转地址保存在 0xB070，跳转地址是 loc_3364:

```
.text:0000000000003364 loc_3364                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003364                                         ; DATA XREF: .rodata:000000000000AFF0↓o ...
.text:0000000000003364                 AND             W11, W12, #0xFFF ; jumptable 0000000000003360 cases 6,13,26,32,36,38,40,51
.text:0000000000003368                 CMP             W11, #0x86E
.text:000000000000336C                 B.LE            loc_3B4C
.text:0000000000003370                 CMP             W11, #0x9EE
.text:0000000000003374                 B.LE            loc_37FC
.text:0000000000003378
.text:0000000000003378 loc_3378                                ; CODE XREF: sub_2D28+AD0↓j
.text:0000000000003378                 CMP             W11, #0x9EF
.text:000000000000337C                 B.EQ            loc_380C
 
 
.text:000000000000380C loc_380C                                ; CODE XREF: sub_2D28+654↑j
.text:000000000000380C                 ADD             X11, X21, #8
.text:0000000000003810                 LDR             X9, [X11,W9,UXTW#3]        W9虚拟寄存器
.text:0000000000003814                 LDR             X8, [X11,W8,UXTW#3]        W8虚拟寄存器
.text:0000000000003818                 ADD             X8, X8, X9                 Add
.text:000000000000381C                 STR             X8, [X11,W10,UXTW#3]       W10虚拟寄存器
.text:0000000000003820                 B               def_4104 ;
```
所以又是一个加法操作， Xd = Xn + Xt

接下来分析 op1 = 47, op2 = 22，跳转地址保存在 0xB02C，跳转地址是 loc_4094：

```
.text:0000000000004094 loc_4094                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000004094                                         ; DATA XREF: .rodata:000000000000B02C↓o
.text:0000000000004094                 CBNZ            X1, def_4104 ; jumptable 0000000000003360 case 21
.text:0000000000004098                 AND             W13, W12, #0xFFF                      W13 = W12 & 0xFFF  = 0x5AF
.text:000000000000409C                 SUB             W14, W13, #3 ; switch 61 cases        W14 = W13 - 3      = 0x5AC
.text:00000000000040A0                 CMP             W14, #0x3C
.text:00000000000040A4                 MOV             W8, WZR                               W8 = 0
.text:00000000000040A8                 B.HI            def_40C4 ; jumptable 00000000000040C4 default case 跳转          大于，跳转
 
 
.text:0000000000004470 def_40C4                                ; CODE XREF: sub_2D28+1380↑j
.text:0000000000004470                 CMP             W13, #0x5AF ; jumptable 00000000000040C4 default case
.text:0000000000004474                 B.EQ            loc_45F0       相等，跳转
 
 
.text:00000000000045F0 loc_45F0                                ; CODE XREF: sub_2D28+174C↑j
.text:00000000000045F0                 MOV             W8, W10         W8 = W10，W10是某个寄存器索引 0-31
.text:00000000000045F4
.text:00000000000045F4 loc_45F4                                ; CODE XREF: sub_2D28+1754↑j
.text:00000000000045F4                 ADD             X9, X21, W9,UXTW#3                        X21是虚拟Context指针，W9是虚拟寄存器索引
.text:00000000000045F8                 LDR             X9, [X9,#8]                               W9虚拟寄存器
.text:00000000000045FC                 MOV             W12, WZR        W12 = 0
.text:0000000000004600                 MOV             W10, WZR        W10 = 0
.text:0000000000004604
.text:0000000000004604 loc_4604                                ; CODE XREF: sub_2D28+1804↑j
.text:0000000000004604                                         ; sub_2D28+1864↑j
.text:0000000000004604                 MOV             W11, #1         W11 = 1
.text:0000000000004608
.text:0000000000004608 loc_4608                                ; CODE XREF: sub_2D28+1884↑j
.text:0000000000004608                 CMP             W10, #0          W10 = 0
.text:000000000000460C                 CSET            W13, NE          W13 = 0
.text:0000000000004610                 AND             W12, W12, W13    W12 = W12 & W13 = 0
.text:0000000000004614                 STUR            X9, [X19,#-0x18]   虚拟寄存器值保存到 [X19,#-0x18]
.text:0000000000004618                 TBNZ            W12, #0, loc_4628
.text:000000000000461C                 CBZ             W10, loc_4628      跳转
 
.text:0000000000004628
.text:0000000000004628 loc_4628                                ; CODE XREF: sub_2D28+18F0↑j
.text:0000000000004628                                         ; sub_2D28+18F4↑j
.text:0000000000004628                 CMP             W12, #0      W12 = 0
.text:000000000000462C                 MOV             W9, #1       W9 = 1
.text:0000000000004630                 CINC            X9, X9, EQ   X9 += 1
.text:0000000000004634                 STUR            X9, [X19,#-0x20]    [X19,#-0x20] = 2
.text:0000000000004638                 CMP             W8, #1
.text:000000000000463C                 B.LT            def_4104 ;
```
上述汇编代码设置  [X19,#-0x18] 为某个虚拟寄存器的值，设置 [X19,#-0x20] 的值为 2 。

虚拟指令公共末尾处，当 [X19 - 0x20] 的值为 1 或 3 时：

```
.text:0000000000003E70 loc_3E70                                ; CODE XREF: sub_2D28+F18↑j
.text:0000000000003E70                                         ; sub_2D28+F20↑j
.text:0000000000003E70                 LDUR            X0, [X19,#-0x18]               这里保存的是 函数地址
.text:0000000000003E74                 STUR            XZR, [X19,#-0x20]              重置为 0
.text:0000000000003E78                 STR             X0, [X21]                      X0保存到X21，X21是虚拟PC指针
.text:0000000000003E7C                 CMP             X0, X20                        X20是跳板函数地址
.text:0000000000003E80                 B.NE            loc_3C54                       应该是相等的，否则执行下一条指令。 也就是 [X19,#-0x18] 传进来的是 X20的值，也就是跳板函数地址
.text:0000000000003E84
.text:0000000000003E84 loc_3E84                                ; CODE XREF: sub_2D28+F28↑j
.text:0000000000003E84                 LDR             X0, [X4]                           函数地址             X19 - 0x110
.text:0000000000003E88                 LDR             X1, [X5]                           参数和返回值指针     X19 - 0x108
.text:0000000000003E8C                 MOV             X24, X4
.text:0000000000003E90                 MOV             X26, X5
.text:0000000000003E94                 STR             X6, [SP,#0x60+var_58]
.text:0000000000003E98                 MOV             X23, X7
.text:0000000000003E9C                 BLR             X20                                跳板函数调用，那么X0保存的应该是地址，X1保存的是参数指针，X1参数指针中同样还保存返回值。
.text:0000000000003EA0                 LDR             X6, [SP,#0x60+var_58]
.text:0000000000003EA4                 LDUR            X0, [X19,#-0x10]
.text:0000000000003EA8                 MOV             X7, X23
.text:0000000000003EAC                 MOV             W23, #0x32F
.text:0000000000003EB0                 MOV             X4, X24
.text:0000000000003EB4                 MOV             W24, #0xFFF
.text:0000000000003EB8                 MOV             W30, #0x20
.text:0000000000003EBC                 MOVK            W23, #0x400,LSL#16
.text:0000000000003EC0                 MOV             X5, X26
.text:0000000000003EC4                 MOV             W26, #3
.text:0000000000003EC8                 MOVK            W24, #0x20,LSL#16
.text:0000000000003ECC                 STR             X0, [X21]
.text:0000000000003ED0                 CBNZ            X0, loc_2DD4
.text:0000000000003ED4                 B               loc_4654
```

所以当 把 [X19,#-0x20] 地址写入 1 或者 3 时，此时是一个函数调用流程。跳转指令一定会涉及到对虚拟机传入的参数处理，以及返回值的处理，这里先跳过具体的细节，分析下一条虚拟指令。

接着分析 op1 = 21：

```
.text:0000000000003044 loc_3044                                ; CODE XREF: sub_2D28+124↑j
.text:0000000000003044                                         ; DATA XREF: .rodata:000000000000A994↓o ...
.text:0000000000003044                 AND             W0, W12, #0xF000 ; jumptable 0000000000002E4C cases 13,21,27,40
.text:0000000000003048                 UBFX            W10, W12, #6, #6
.text:000000000000304C                 BFXIL           W0, W18, #0x14, #0xC
.text:0000000000003050                 ORR             W10, W0, W10
.text:0000000000003054                 ORR             W10, W10, W17,LSR#20
.text:0000000000003058                 ORR             W10, W10, W16,LSR#20
.text:000000000000305C                 ORR             W10, W10, W15,LSR#20
.text:0000000000003060                 AND             W11, W12, #0x3F                  W11 = op1 = 21 = 0x15
.text:0000000000003064                 ORR             W10, W10, W14,LSR#20
.text:0000000000003068                 CMP             W11, #0xD
.text:000000000000306C                 ORR             W10, W10, W13,LSR#20             同样是取出了一个常数
.text:0000000000003070                 B.EQ            loc_3144
.text:0000000000003074                 CMP             W11, #0x28
.text:0000000000003078                 B.EQ            loc_3144
.text:000000000000307C                 CMP             W11, #0x15             这里不跳转
.text:0000000000003080                 B.NE            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000003080                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000003080                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000003084                 ADD             X11, X21, #8                实际handler逻辑
.text:0000000000003088                 LSL             X9, X9, #3
.text:000000000000308C                 LDRSW           X9, [X11,X9]                 虚拟寄存器
.text:0000000000003090                 SXTH            W10, W10                     符号扩展，16位扩展为32位
.text:0000000000003094                 ADD             X9, X9, W10,SXTW
.text:0000000000003098                 STR             X9, [X11,W8,UXTW#3]          W8虚拟寄存器 = X9
.text:000000000000309C                 B               def_4104 ;

```
上述代码先取出一个常量保存在 W10, 取出虚拟寄存器保存在 X9，相加后保存在另一个虚拟寄存器中，即加法指令： Xd = Xn + #imme;

接着分析 op1 = 54：

看起来是一个 store指令， STORE Xn,  [Xd + #imme] ，取出一个32位虚拟寄存器的值，保存到另一个寄存器指向的地址+偏移处。

接着分析 op1 = 47, op2 = 49：

```
.text:0000000000003A60 loc_3A60                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000003A60                                         ; DATA XREF: .rodata:000000000000B000↓o ...
.text:0000000000003A60                 CMP             W13, #0xC6E ; jumptable 0000000000003360 cases 10,48
.text:0000000000003A64                 B.GT            loc_3A94
 
 
.text:0000000000003A94 loc_3A94                                ; CODE XREF: sub_2D28+D3C↑j
.text:0000000000003A94                 MOV             W9, #0x8EE
.text:0000000000003A98                 MOVK            W9, #0x20,LSL#16
.text:0000000000003A9C                 CMP             W13, W9
.text:0000000000003AA0                 B.GT            loc_3D78
.text:0000000000003AA4                 CMP             W13, #0xC6F
.text:0000000000003AA8                 B.EQ            loc_42B0
 
 
这里才是实际的handler逻辑：
.text:00000000000042B0 loc_42B0                                ; CODE XREF: sub_2D28+D80↑j
.text:00000000000042B0                 ADD             X9, X21, #8
.text:00000000000042B4                 LSL             X8, X8, #3
.text:00000000000042B8                 LDR             W8, [X9,X8]      虚拟寄存器值 --> W8
.text:00000000000042BC                 LSL             W8, W8, W11      W8 << W11
.text:00000000000042C0                 B               loc_432C
 
 
.text:000000000000432C loc_432C                                ; CODE XREF: sub_2D28+CAC↑j
.text:000000000000432C                                         ; sub_2D28+104C↑j ...
.text:000000000000432C                 SXTW            X8, W8               W8符号扩展为 X8
.text:0000000000004330                 STR             X8, [X9,W10,UXTW#3]  保存到 W10虚拟寄存器 --->  Xd = Xn << #imme
.text:0000000000004334                 B               def_4104 ;
```
这是一个左移位指令。

接着分析 op1 = 47, op2 = 26：

```
.text:000000000000404C def_3360                                ; CODE XREF: sub_2D28+624↑j
.text:000000000000404C                                         ; sub_2D28+638↑j
.text:000000000000404C                                         ; DATA XREF: ...
.text:000000000000404C                 CMP             W13, #0x92E ; jumptable 0000000000003360 default case
.text:0000000000004050                 B.LE            loc_43B0
 
 
.text:00000000000043B0 loc_43B0                                ; CODE XREF: sub_2D28+1328↑j
.text:00000000000043B0                 CMP             W13, #0x6AE
.text:00000000000043B4                 B.LE            loc_43FC
.text:00000000000043B8                 CMP             W13, #0x76E
.text:00000000000043BC                 B.GT            loc_44C4
.text:00000000000043C0                 CMP             W13, #0x6AF
.text:00000000000043C4                 B.EQ            loc_45B0
 
 
.text:00000000000045B0 loc_45B0                                ; CODE XREF: sub_2D28+169C↑j
.text:00000000000045B0                 CBNZ            X1, def_4104 ; jumptable 0000000000002E4C default case
.text:00000000000045B0                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:00000000000045B0                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:00000000000045B4                 ADD             X8, X21, W9,UXTW#3
.text:00000000000045B8                 LDR             X8, [X8,#8]
.text:00000000000045BC                 ADD             X0, X0, #4
.text:00000000000045C0                 MOV             W9, #2
.text:00000000000045C4                 STP             X9, X8, [X19,#-0x20]
.text:00000000000045C8                 STR             X0, [X21]
.text:00000000000045CC                 CBNZ            X0, loc_2DD4
.text:00000000000045D0                 B               loc_4654
```

操作 [X19,#-0x20] = 2 & [X19,#-0x18] = Xn & next

到目前为止，这个函数涉及的虚拟指令的含义都清楚了，但是还有几处细节需要继续分析：
1、虚拟Context 和 虚拟内存（栈），具体对应哪个内存区域，怎么划分。
2、真实寄存器的使用情况，以及与虚拟堆栈和虚拟寄存器的对应。
3、虚拟机入口，虚拟机参数和函数参数具体保存在了虚拟寄存器和虚拟内存哪个具体位置，以及初始化时具体做什么了操作。
4、[X19,#-0x18] 和 [X19,#-0x20] 这两个变量赋值后的处理流程细节。这里应该涉及到了函数调用和退出虚拟机。
5、函数调用时的参数和返回值处理细节。

**1、虚拟空间划分。**
进入虚拟机前的函数在栈中分配了虚拟空间，并通过第 5 个参数传入了内存指针，用于虚拟空间操作，具体是

```
 .text:0000000000002D48                 LDP             X20, X19, [X4]
```
将虚拟内存的首地址保存在了 X19 寄存器中，在 VM初始化过程中，涉及到对虚拟内存指针的赋值操作：

```
.text:0000000000002D4C                 SUB             X8, X19, #0x130    X8 = X19 - 0x130
.text:0000000000002D50                 STUR            XZR, [X19,#-0x38]  [X19 -0x38] = 0
.text:0000000000002D54                 STR             XZR, [X8]          [X19 - 0x130] = 0 
.text:0000000000002D58                 SUB             X8, X19, #0x148    X8 = X19 - 0x148
.text:0000000000002D5C                 SUB             X21, X19, #0x138   X21 = X19 - 0x138
.text:0000000000002D60                 AND             X8, X8, #0xFFFFFFFFFFFFFFF0   16字节对齐
.text:0000000000002D64                 SUB             X4, X19, #0x110    X4 = X19 - 0x110
.text:0000000000002D68                 SUB             X5, X19, #0x108    X5 = X19 - 0x108
.text:0000000000002D6C                 STUR            X8, [X19,#-0x48]   [X19 - 0x48] = X8 = X19 - 0x150
.text:0000000000002D70                 STUR            XZR, [X19,#-0x20]   [X19 - 0x20] = 0
.text:0000000000002D74                 STR             X1, [X4]            [X19 - 0x110] = X1 = 参数2，函数参数指针，传入的jbyte* 等参数
.text:0000000000002D78                 STR             X2, [X5]            [X19 - 0x108] = X2 = 0, 参数3 是0
.text:0000000000002D7C                 STP             X3, X20, [X19,#-0x100]   [X19-0x100] = 参数4 = 一个地址数组。 [X19- 0xF8] = X20 = sub_2D1C 函数地址
.text:0000000000002D80                 STR             X0, [X21]           [X19 - 0x138] = X0 = 参数1，可能是字节码序列
.text:0000000000002D84                 STUR            X0, [X19,#-8]       [X19 - 0x8] = X0

```
同时在寻找虚拟寄存器过程中，是以X21寄存器作为基地值，偏移值是 下标 * 8 + 8，如下方的代码，下标范围是 0-31，共 32 个虚拟寄存器：

```
.text:00000000000045F4                 ADD             X9, X21, W9,UXTW#3                        X21是虚拟Context指针，W9是虚拟寄存器索引
.text:00000000000045F8                 LDR             X9, [X9,#8]                               W9虚拟寄存器
```
而取下一个虚拟指令是根据 X21寄存器：

```
.text:0000000000003C24                 LDR             X9, [X21] ;   
.text:0000000000003C28                 LDUR            X8, [X19,#-0x20]   X8 = [X19 - 0x20]是控制变量
.text:0000000000003C2C                 ADD             X0, X9, #4         X0 = X9 + 0x4 ---> opcode地址移动4位，即将会取下一个字节码
.text:0000000000003C30                 CMP             X8, #2
.text:0000000000003C34                 STR             X0, [X21]          更新虚拟 PC 指针
```
根据上面的代码逻辑，得出结论：
1、X21，也就是 X19 - 0x138 保存了虚拟 PC地址。
2、 X21 + i * 8 + 8 表示虚拟寄存器 Xi，i用 5 位 表示，取值范围 0 -31，共 32 个虚拟寄存器：
 X19 - 0x130 表示 虚拟寄存器 X0
    X19 - 0x128 表示 虚拟寄存器 X1
    X19 - 0x120 表示 虚拟寄存器 X2
    X19 - 0x118 表示 虚拟寄存器 X3
    X19 - 0x110 表示 虚拟寄存器 X4
    X19 - 0x108 表示 虚拟寄存器 X5
    X19 - 0x100 表示 虚拟寄存器 X6
    X19 - 0xF8 表示 虚拟寄存器 X7
    X19 - 0xF0 表示 虚拟寄存器 X8
    X19 - 0xE8 表示 虚拟寄存器 X9
    X19 - 0xE0 表示 虚拟寄存器 X10
    X19 - 0xD8 表示 虚拟寄存器 X11
    X19 - 0xD0 表示 虚拟寄存器 X12
    X19 - 0xC8 表示 虚拟寄存器 X13
    X19 - 0xC0 表示 虚拟寄存器 X14
    X19 - 0xB8 表示 虚拟寄存器 X15
    X19 - 0xB0 表示 虚拟寄存器 X16
    X19 - 0xA8 表示 虚拟寄存器 X17
    X19 - 0xA0 表示 虚拟寄存器 X18
    X19 - 0x98 表示 虚拟寄存器 X19
    X19 - 0x90 表示 虚拟寄存器 X20
    X19 - 0x88 表示 虚拟寄存器 X21
    X19 - 0x80 表示 虚拟寄存器 X22
    X19 - 0x78 表示 虚拟寄存器 X23
    X19 - 0x70 表示 虚拟寄存器 X24
    X19 - 0x68 表示 虚拟寄存器 X25
    X19 - 0x60 表示 虚拟寄存器 X26
    X19 - 0x58 表示 虚拟寄存器 X27
    X19 - 0x50 表示 虚拟寄存器 X28
    X19 - 0x48 表示 虚拟寄存器 X29
    X19 - 0x40 表示 虚拟寄存器 X30
    X19 - 0x38 表示 虚拟寄存器 X31

根据前面的分析可知：
    X19 - 0x20 表示控制变量，控制流程和函数调用
    X19 - 0x18 用于配合控制变量保存地址
    X19 - 0x10 表示函数的返回地址
    X19 - 0x8 表示初始的 PC地址，即 opcode 首地址

虚拟机初始化时 [X19 - 0x48] = X8 = X19 - 0x150，即虚拟寄存器 X29 = X19 -0x150，应该对应虚拟栈，即虚拟寄存器X29是虚拟 SP寄存器，初始时，指向 X19 - 0x150

同时，根据虚拟寄存器的表示，就可以清楚的知道，函数的参数在初始化时，保存在了哪个虚拟寄存器中，这个在第 3 点详细分析。

**2、真实寄存器使用**
根据前面对每个 handler 的逻辑分析，总结下真实寄存器的使用情况：
    
X0 主要用于虚拟 PC寻址，保存当前虚拟 PC地址，或者函数调用和跳转时的取地址。

X1 主要用于取控制变量并判断。
    X2 暂未发现特殊用处
    X3 暂未发现特殊用处
    X4 暂未发现特殊用处
    X5 暂未发现特殊用处
    X6 暂未发现特殊用处
    X7 暂未发现特殊用处
    W8  虚拟寄存器索引
    W9  虚拟寄存器索引
    W10  虚拟寄存器索引
    W11  虚拟寄存器索引
    W12 虚拟指令
    W13 虚拟指令操作码
    X14 暂未发现特殊用处
    X15 暂未发现特殊用处
    X16 暂未发现特殊用处
    X17 暂未发现特殊用处
    X18 暂未发现特殊用处
    X19 虚拟内存指针
    X20 暂未发现特殊用处
    X21 虚拟 Context指针
    X22 跳转表
    X23 跳转表
    …………

**3、初始化时函数参数**

```
.text:0000000000002D74                 STR             X1, [X4]            [X19 - 0x110] = X1 = 参数2，函数参数指针，传入的jbyte* 等参数
.text:0000000000002D78                 STR             X2, [X5]            [X19 - 0x108] = X2 = 0, 参数3 是0
.text:0000000000002D7C                 STP             X3, X20, [X19,#-0x100]   [X19-0x100] = 参数4 = 一个地址数组。 [X19- 0xF8] = X20 = sub_2D1C 函数地址

```
上述代码是虚拟机初始化时对参数的处理逻辑：
真实函数参数指针保存在 [X19 - 0x110]，即虚拟寄存器 X4。
参数 3 保存在 [X19 - 0x108]，即虚拟寄存器 X5 = 0。
参数4 ,函数地址， 保存在 [X19-0x100]，即虚拟寄存器 X6。
跳板函数sub_2D1C保存在 [X19- 0xF8]，即虚拟寄存器 X7。
初始化时其它操作：

```
.text:0000000000002D58                 SUB             X8, X19, #0x148    X8 = X19 - 0x148
.text:0000000000002D60                 AND             X8, X8, #0xFFFFFFFFFFFFFFF0   16字节对齐
.text:0000000000002D6C                 STUR            X8, [X19,#-0x48]   [X19 - 0x48] = X8 = X19 - 0x150
```
上述代码对应 虚拟寄存器 X29 = X19 - 0x150（AND操作后，抹去最低 4 位，16 字节对齐，值变小了，所以是 X19 = 0x150）

**4、控制变量处理流程**
在handler 末尾，基本块 def_4104 会对控制变量做处理，同时取指令开头，基本块 loc_2DD8 也会对控制变量做处理，同时某些handler 中，会对控制变量赋值操作。

这次以 op1 = 47, op2 = 22，为例，详细分析控制变量的处理流程：

1）根据前面的分析，handler 执行后， [X19,#-0x18] 为某个虚拟寄存器的值，设置 [X19,#-0x20] 的值为 2。
2）末尾  def_4104 关于控制变量的处理逻辑：

```
.text:0000000000003C24                 LDR             X9, [X21]
.text:0000000000003C28                 LDUR            X8, [X19,#-0x20].   取出控制变量
.text:0000000000003C2C                 ADD             X0, X9, #4
.text:0000000000003C30                 CMP             X8, #2              与 2 比较
.text:0000000000003C34                 STR             X0, [X21]
.text:0000000000003C38                 B.EQ            loc_3C54            相等时跳转到 loc_3C54
.text:0000000000003C3C                 CMP             X8, #3              与 3 比较
.text:0000000000003C40                 B.EQ            loc_3E70            相等时跳转到 loc_3E70
.text:0000000000003C44                 CMP             X8, #1              与 1 比较
.text:0000000000003C48                 B.EQ            loc_3E70            相等时跳转到 loc_3E70
```
即当  [X19,#-0x20] 等于 2 时，跳转到  loc_3C54，当 [X19,#-0x20] 等于 1 或 3 时，跳转到 loc_3E70。loc_3C54的逻辑很简单：

```
.text:0000000000003C54                 CBNZ            X0, loc_2DD4
```
只要 X0的值不为 0，跳转到 loc_2DD4 继续执行，这个地址就是取指令的开头，如果不涉及控制变量，会跳转到 loc_2DD8。正常执行虚拟指令时， PC的值不会为 0。此时会进入下一个虚拟指令的取指和执行环节。

接着分析取指部分：

```
.text:0000000000002DD4                 LDUR            X1, [X19,#-0x20]    取出控制变量
.text:0000000000002DD8                 LDR             W12, [X0]           取指令
.text:0000000000002DDC                 CMP             X1, #2              控制变量与 2 比较
.text:0000000000002DE0                 B.EQ            loc_4248            相等跳转
 
.text:0000000000004248                 MOV             W1, #3              W1 = 3，X1用于临时保存控制变量
.text:000000000000424C                 STUR            X26, [X19,#-0x20]   虚拟机开头 W26 = 3, 调用函数时 W26会被保存，函数执行后 W26恢复成 3
.text:0000000000004250                 B               loc_2DE4            继续解析虚拟指令并执行
```
所以取指令时，如果发现 [X19,#-0x20] 等于 2，会将  [X19,#-0x20] 赋值为 3，**那么当前指令执行结束后，在末尾 def_4104会继续执行上一个指令，完成函数调用或跳转。因此包含 [X19,#-0x20] = 2操作的指令，实际执行时间是下一条指令后面。**

3）分析控制变量实际处理逻辑
控制变量值为 1 或 3 时，跳转到 loc_3E70：

```
.text:0000000000003E70                 LDUR            X0, [X19,#-0x18]    这里保存的是某个虚拟寄存器的值，应该是某个地址
.text:0000000000003E74                 STUR            XZR, [X19,#-0x20]   初始化控制变量为 0
.text:0000000000003E78                 STR             X0, [X21]           更新虚拟 PC
.text:0000000000003E7C                 CMP             X0, X20
.text:0000000000003E80                 B.NE            loc_3C54             不等，则跳转，即函数调用时，X0此时一定时跳板函数地址，如果不是函数调用，跳转到 loc_3C54继续
                                                                            如果是跳转指令，[X19,#-0x18]保存了下一个虚拟指令的地址，如果时退出，[X19,#-0x18]是 0
 
函数调用
.text:0000000000003E84                 LDR             X0, [X4]         同时是对应虚拟寄存器 X4，这里应该成了跳板函数地址
.text:0000000000003E88                 LDR             X1, [X5]         同时是对应虚拟寄存器 X5，这里应该成了参数指针和返回值
.text:0000000000003E8C                 MOV             X24, X4          虚拟 X4地址
.text:0000000000003E90                 MOV             X26, X5          虚拟 X5地址
.text:0000000000003E94                 STR             X6, [SP,#0x60+var_58]  保存 X6
.text:0000000000003E98                 MOV             X23, X7
.text:0000000000003E9C                 BLR             X20                    函数调用
.text:0000000000003EA0                 LDR             X6, [SP,#0x60+var_58]. 恢复 X6
.text:0000000000003EA4                 LDUR            X0, [X19,#-0x10].      返回地址
.text:0000000000003EA8                 MOV             X7, X23
.text:0000000000003EAC                 MOV             W23, #0x32F
.text:0000000000003EB0                 MOV             X4, X24
.text:0000000000003EB4                 MOV             W24, #0xFFF
.text:0000000000003EB8                 MOV             W30, #0x20
.text:0000000000003EBC                 MOVK            W23, #0x400,LSL#16
.text:0000000000003EC0                 MOV             X5, X26
.text:0000000000003EC4                 MOV             W26, #3                 恢复 W26 = 3
.text:0000000000003EC8                 MOVK            W24, #0x20,LSL#16
.text:0000000000003ECC                 STR             X0, [X21]               更新虚拟 PC指针
.text:0000000000003ED0                 CBNZ            X0, loc_2DD4            跳转到下一个虚拟指令解码
.text:0000000000003ED4                 B               loc_4654                异常，退出虚拟机
 
 
 
非函数调用情况
.text:0000000000003C54                 CBNZ            X0, loc_2DD4            处理下一个指令，前面已经修改了虚拟PC,所以这里对应跳转
.text:0000000000003C58                 B               loc_4654                异常，退出虚拟机
```
 4）结论

**跳转指令、函数调用指令、退出虚拟机指令，通过设置  [X19,#-0x20] 的值来实现，[X19,#-0x20]设置为 2 时，会在执行下一个指令后，再在末尾执行这条指令，当执行函数调用时，[X19,#-0x18] 必须设置成跳板函数地址。函数执行完后，会从 [X19,#-0x10] 恢复虚拟PC。当执行跳转指令时，[X19,#-0x18]必须设置成下一个虚拟指令地址，会用这个地址更新虚拟 PC。当退出虚拟机时，设置 [X19,#-0x18]为 0。**

**5、函数调用细节**
函数调用通过跳板函数实现，跳板函数逻辑如下：

```
.text:0000000000002D1C sub_2D1C                                ; DATA XREF: sub_2BD4+18↑o
.text:0000000000002D1C ; __unwind {
.text:0000000000002D1C                 MOV             X2, X0    参数 1 保存到 X2
.text:0000000000002D20                 MOV             X0, X1.   参数 2 保存到 X0
.text:0000000000002D24                 BR              X2.       调用 X2地址
```
这个逻辑非常简单，参数 1 传入地址，参数 2 传入参数指针，直接调用参数 1 的地址。这里不涉及对返回值的处理。所以返回值应该保存在参数指针中，并且调用的地址是一个对 api的 wrap.

通过上面的分析，对虚拟指令的控制逻辑已经非常清楚了，下面再次分析前面没有完全识别的虚拟指令：
op1 = 15 时
op1 = 42时
op1 = 47, op2 = 22（可能是函数调用）
op1 = 47, op2 = 26

1）当op1 = 15 时

```
.text:0000000000002ECC                 CBNZ            X1, def_4104 ;     X1 不是0就跳走了,虚拟机初始化后X1 = 0并保存到 [X19,#-0x20], 指令取码时，X1 = [X19,#-0x20],这是一个控制变量
.text:0000000000002ED0                 AND             W10, W12, #0x3F    W10 = W12 & 0x3F = 15
.text:0000000000002ED4                 SUB             W1, W10, #3 ; switch 61 cases     W1 = W10 - 3
.text:0000000000002ED8                 CMP             W1, #0x3C
.text:0000000000002EDC                 B.HI            def_4104 ;
.text:0000000000002EE0                 AND             W3, W12, #0xF000   这里开始分析，看起来跟前面一样，取出一个常量
.text:0000000000002EE4                 UBFX            W2, W12, #6, #6
.text:0000000000002EE8                 BFXIL           W3, W18, #0x14, #0xC
.text:0000000000002EEC                 ORR             W18, W3, W2
.text:0000000000002EF0                 LDRSW           X1, [X27,X1,LSL#2]   后前面一样有二次跳转
.text:0000000000002EF4                 ORR             W17, W18, W17,LSR#20
.text:0000000000002EF8                 ORR             W16, W17, W16,LSR#20
.text:0000000000002EFC                 ORR             W15, W16, W15,LSR#20
.text:0000000000002F00                 ORR             W14, W15, W14,LSR#20
.text:0000000000002F04                 ORR             W13, W14, W13,LSR#20
.text:0000000000002F08                 ADD             X14, X1, X27              --> 拿到了跳转地址，即 X27 + （op1-3） * 4 处, X27 = 0xAB40 --> op1 = 15时跳转地址是 0x2F1C
.text:0000000000002F0C                 MOV             W10, WZR                 W10 = 0
.text:0000000000002F10                 MOV             X11, XZR                 X11 = 0
.text:0000000000002F14                 SBFIZ           W13, W13, #2, #0x10
.text:0000000000002F18                 BR              X14     ; switch jump
 
 
.text:0000000000002F1C loc_2F1C                                ; CODE XREF: sub_2D28+1F0↑j
.text:0000000000002F1C                                         ; DATA XREF: .rodata:000000000000AB48↓o ...
.text:0000000000002F1C                 ADD             X8, X21, W8,UXTW#3 ; jumptable 0000000000002F18 cases 5,15,44,58     取出W8虚拟寄存器地址
.text:0000000000002F20                 LDR             X11, [X8,#8]                                                         取出虚拟寄存器值，赋值给 X11
.text:0000000000002F24
.text:0000000000002F24 loc_2F24                                ; CODE XREF: sub_2D28+1F0↑j
.text:0000000000002F24                                         ; DATA XREF: .rodata:jpt_2F18↓o ...
.text:0000000000002F24                 AND             W8, W12, #0x3F ; jumptable 0000000000002F18 cases 3,26,45,63          W8 = op1
.text:0000000000002F28                 SUB             W8, W8, #3 ; switch 61 cases                                          W8 = op1 - 3
.text:0000000000002F2C                 CMP             W8, #0x3C                                                                        
.text:0000000000002F30                 B.HI            def_4104 ; jumptable 0000000000002E4C default case
.text:0000000000002F30                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:0000000000002F30                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:0000000000002F34                 ADRP            X10, #jpt_2F58@PAGE
.text:0000000000002F38                 ADD             X10, X10, #jpt_2F58@PAGEOFF
.text:0000000000002F3C                 MOV             X12, X10               跳转的基地址
.text:0000000000002F40                 LDRSW           X8, [X12,X8,LSL#2]          (op1 - 3) * 4 + X12， 这里op = 15 时跳转地址是 0x35C8
.text:0000000000002F44                 ADD             X9, X21, W9,UXTW#3         W9虚拟寄存器地址
.text:0000000000002F48                 LDR             X9, [X9,#8]                取出寄存器保存在 X9
.text:0000000000002F4C                 ADD             W10, W13, #4
.text:0000000000002F50                 ADD             X12, X8, X12
.text:0000000000002F54                 ADD             X8, X0, W10,SXTW
.text:0000000000002F58                 BR              X12     ; switch jump
 
 
.text:00000000000035C8 loc_35C8                                ; CODE XREF: sub_2D28+230↑j
.text:00000000000035C8                                         ; DATA XREF: .rodata:000000000000AC64↓o
.text:00000000000035C8                 CMP             X9, X11 ; jumptable 0000000000002F58 case 15   比较 X9 和 X11两个寄存器的值，这里对应两个虚拟寄存器，这里应该是一个比较指令
.text:00000000000035CC                 B.NE            loc_3628
.text:00000000000035D0                 B               loc_2F64
 
 
X9 = X11时
.text:0000000000002F64 loc_2F64                                ; CODE XREF: sub_2D28+898↓j                                
.text:0000000000002F64                                         ; sub_2D28+8A8↓j ...
.text:0000000000002F64                 MOV             W11, WZR                    W11 = 0
.text:0000000000002F68                 MOV             W9, WZR                     W9 = 0
.text:0000000000002F6C                 B               loc_3614
 
.text:0000000000003614 loc_3614                                ; CODE XREF: sub_2D28+244↑j
.text:0000000000003614                 MOV             W10, WZR                    W10 = 0
.text:0000000000003618                 MOV             W12, #1                     W12 = 1
.text:000000000000361C                 B               loc_363C
 
X9 != X11 时
.text:0000000000003628 loc_3628                                ; CODE XREF: sub_2D28+238↑j
.text:0000000000003628                                         ; sub_2D28+89C↑j ...
.text:0000000000003628                 MOV             W9, WZR                  W9 = 0
.text:000000000000362C
.text:000000000000362C loc_362C                                ; CODE XREF: sub_2D28+8B8↑j
.text:000000000000362C                                         ; sub_2D28+8C8↑j ...
.text:000000000000362C                 MOV             W12, WZR                 W12 = 0
.text:0000000000003630                 MOV             W10, WZR                 W10 = 0
.text:0000000000003634                 ADD             X8, X0, #8               X8 = X0 + 8.   当 Xm != Xn 时，修改虚拟PC，到后两个指令处
.text:0000000000003638                 MOV             W11, #1                  W11 = 1
 
 
上述分析可知，X9 = X11时（两个虚拟寄存器值相等）W11 = 0, W12 = 1,否则 W11 = 1, W12 = 0，X8 = X0 + 8. 公共部分：W9 = 0, W10 = 0
 
 
最终都到 loc_363C
.text:000000000000363C loc_363C                                ; CODE XREF: sub_2D28+890↑j
.text:000000000000363C                 CMP             W9, #0
.text:0000000000003640                 CSET            W13, NE           这里 W13 = 0,因为前面两个肯定相等
.text:0000000000003644                 AND             W11, W11, W13     W11 = W11 + W13 = W11 -> 当 X9 = X11 时，W11 = 0, 否则 W11 = 1
.text:0000000000003648                 STUR            X8, [X19,#-0x18]  当 Xm != Xn时，X8是当前指令后两个指令。
.text:000000000000364C                 TBNZ            W11, #0, loc_365C
.text:0000000000003650                 CBZ             W9, loc_365C      这里一定会跳转到 loc_365c
.text:0000000000003654                 AND             W8, W12, W13
.text:0000000000003658                 CBZ             W8, loc_366C
.text:000000000000365C
.text:000000000000365C loc_365C                                ; CODE XREF: sub_2D28+924↑j
.text:000000000000365C                                         ; sub_2D28+928↑j
.text:000000000000365C                 CMP             W11, #0
.text:0000000000003660                 MOV             W8, #1
.text:0000000000003664                 CINC            X8, X8, EQ         当 W11 = 0 时， X8 = X8 +1 --->即 Xm = Xn时，x8 = 2， 否则 x8 = 1
.text:0000000000003668                 STUR            X8, [X19,#-0x20]   这里决定了函数调用和跳转，根据 [X19,#-0x18] 的值确定这里是跳转
.text:000000000000366C
.text:000000000000366C loc_366C                                ; CODE XREF: sub_2D28+930↑j
.text:000000000000366C                                         ; sub_2D28+1250↓j
.text:000000000000366C                 CMP             W10, #1           小于
.text:0000000000003670                 B.LT            def_4104 ;        跳转结尾
```

根据前面的细节分析，如果 [X19,#-0x20] = 1，指令末尾会进行跳转操作，如果 [X19,#-0x20] = 2，会在下一条指令结束后执行跳转操作。这条指令当 Xm = Xn时，[X19,#-0x20] = 2，[X19,#-0x18] = PC + #imme，当 Xm != Xn时，[X19,#-0x20] = 1，且 [X19,#-0x18] = PC + 8。所以**这是一个条件跳转指令，当 Xm != Xn时，直接在指令末尾跳转到当前 PC+8处，当 Xm = Xn 时，跳转到 PC + #imme 处。巧合的是，这条指令的后是一个 NOP指令，所以 PC+8就是下一条指令，这条指令可以认为是，B.EQ，相等时跳转**

2）当 op1 = 42时

```
.text:00000000000030A0 loc_30A0                                ; CODE XREF: sub_2D28+124↑j
.text:00000000000030A0                 CBNZ            X1, def_4104 ;         
.text:00000000000030A4                 AND             W11, W12, #0x3FFF000
.text:00000000000030A8                 UBFX            W10, W12, #6, #6
.text:00000000000030AC                 BFXIL           W11, W18, #0x14, #0xC
.text:00000000000030B0                 ORR             W10, W11, W10
.text:00000000000030B4                 ORR             W10, W10, W17,LSR#20
.text:00000000000030B8                 ORR             W10, W10, W16,LSR#20
.text:00000000000030BC                 ORR             W10, W10, W15,LSR#20
.text:00000000000030C0                 ORR             W10, W10, W14,LSR#20
.text:00000000000030C4                 AND             W8, W12, #0x3F
.text:00000000000030C8                 ORR             W10, W10, W13,LSR#20           W10是取出的常量
.text:00000000000030CC                 CMP             W8, #0x11
.text:00000000000030D0                 LSL             W12, W10, #2                   W12 = W10 * 4
.text:00000000000030D4                 B.EQ            loc_36B0
.text:00000000000030D8                 CMP             W8, #0x2A      42
.text:00000000000030DC                 B.EQ            loc_36B8       跳转
 
.text:00000000000036B8 loc_36B8                                ; CODE XREF: sub_2D28+3B4↑j
.text:00000000000036B8                 MOV             W8, WZR              W8 = 0
.text:00000000000036BC
.text:00000000000036BC loc_36BC                                ; CODE XREF: sub_2D28+98C↑j
.text:00000000000036BC                 LDUR            X9, [X19,#-8]          字节码首地址
.text:00000000000036C0                 MOV             W11, WZR               W11 = 0
.text:00000000000036C4                 MOV             W10, WZR               W10 = 0
.text:00000000000036C8                 ADD             X12, X9, W12,UXTW      下一个字节码地址 = PC首地址 + 常量
.text:00000000000036CC                 MOV             W9, #1
.text:00000000000036D0
.text:00000000000036D0 loc_36D0                                ; CODE XREF: sub_2D28+3F0↑j
.text:00000000000036D0                 CMP             W10, #0
.text:00000000000036D4                 CSET            W13, NE
.text:00000000000036D8                 AND             W11, W11, W13
.text:00000000000036DC                 STUR            X12, [X19,#-0x18]    保存跳转地址
.text:00000000000036E0                 TBNZ            W11, #0, loc_36F0
.text:00000000000036E4                 CBZ             W10, loc_36F0        跳转
.text:00000000000036E8                 AND             W9, W9, W13
.text:00000000000036EC                 CBZ             W9, loc_3700
.text:00000000000036F0
.text:00000000000036F0 loc_36F0                                ; CODE XREF: sub_2D28+9B8↑j
.text:00000000000036F0                                         ; sub_2D28+9BC↑j
.text:00000000000036F0                 CMP             W11, #0
.text:00000000000036F4                 MOV             W9, #1
.text:00000000000036F8                 CINC            X9, X9, EQ               X9 = 2
.text:00000000000036FC                 STUR            X9, [X19,#-0x20]         [X19,#-0x20] = 2   
.text:0000000000003700
.text:0000000000003700 loc_3700                                ; CODE XREF: sub_2D28+9C4↑j
.text:0000000000003700                                         ; sub_2D28+18FC↓j
.text:0000000000003700                 CMP             W8, #1
.text:0000000000003704                 B.LT            def_4104
```

述指令执行后 [X19,#-0x20] = 2，[X19,#-0x18] = PC首地址 + #imme, **因此这是一个无条件跳转指令 B #imme**

**3）op1 = 47, op2 = 22**

```
.text:0000000000004094 loc_4094                                ; CODE XREF: sub_2D28+638↑j
.text:0000000000004094                 CBNZ            X1, def_4104 ; jumptable 0000000000003360 case 21
.text:0000000000004098                 AND             W13, W12, #0xFFF                      W13 = W12 & 0xFFF  = 0x5AF
.text:000000000000409C                 SUB             W14, W13, #3 ; switch 61 cases        W14 = W13 - 3      = 0x5AC
.text:00000000000040A0                 CMP             W14, #0x3C
.text:00000000000040A4                 MOV             W8, WZR                               W8 = 0
.text:00000000000040A8                 B.HI            def_40C4 ; jumptable 00000000000040C4 default case 跳转          大于，跳转
 
 
.text:0000000000004470 def_40C4                                ; CODE XREF: sub_2D28+1380↑j
.text:0000000000004470                 CMP             W13, #0x5AF ; jumptable 00000000000040C4 default case
.text:0000000000004474                 B.EQ            loc_45F0       相等，跳转
 
 
.text:00000000000045F0 loc_45F0                                ; CODE XREF: sub_2D28+174C↑j
.text:00000000000045F0                 MOV             W8, W10         W8 = W10，W10是某个寄存器索引 0-31
.text:00000000000045F4
.text:00000000000045F4 loc_45F4                                ; CODE XREF: sub_2D28+1754↑j
.text:00000000000045F4                 ADD             X9, X21, W9,UXTW#3                        X21是虚拟Context指针，W9是虚拟寄存器索引
.text:00000000000045F8                 LDR             X9, [X9,#8]                               W9虚拟寄存器
.text:00000000000045FC                 MOV             W12, WZR        W12 = 0
.text:0000000000004600                 MOV             W10, WZR        W10 = 0
.text:0000000000004604
.text:0000000000004604 loc_4604                                ; CODE XREF: sub_2D28+1804↑j
.text:0000000000004604                                         ; sub_2D28+1864↑j
.text:0000000000004604                 MOV             W11, #1         W11 = 1
.text:0000000000004608
.text:0000000000004608 loc_4608                                ; CODE XREF: sub_2D28+1884↑j
.text:0000000000004608                 CMP             W10, #0          W10 = 0
.text:000000000000460C                 CSET            W13, NE          W13 = 0
.text:0000000000004610                 AND             W12, W12, W13    W12 = W12 & W13 = 0
.text:0000000000004614                 STUR            X9, [X19,#-0x18]   虚拟寄存器值保存到 [X19,#-0x18]
.text:0000000000004618                 TBNZ            W12, #0, loc_4628
.text:000000000000461C                 CBZ             W10, loc_4628      跳转
 
.text:0000000000004628
.text:0000000000004628 loc_4628                                ; CODE XREF: sub_2D28+18F0↑j
.text:0000000000004628                                         ; sub_2D28+18F4↑j
.text:0000000000004628                 CMP             W12, #0      W12 = 0
.text:000000000000462C                 MOV             W9, #1       W9 = 1
.text:0000000000004630                 CINC            X9, X9, EQ   X9 += 1
.text:0000000000004634                 STUR            X9, [X19,#-0x20]    [X19,#-0x20] = 2
.text:0000000000004638                 CMP             W8, #1          这里应该一定大于 1，因为函数调用要保存返回值。
.text:000000000000463C                 B.LT            def_4104 ;
.text:0000000000004640                 B               loc_370
 
 
.text:0000000000003708 loc_3708                                ; CODE XREF: sub_2D28+1918↓j
.text:0000000000003708                 ADD             X9, X0, #8            函数调用指令会后置，所以下一个执行的指令是 X0 + 8
.text:000000000000370C                 ADD             X8, X21, W8,SXTW#3
.text:0000000000003710                 STR             X9, [X8,#8]           Xm = 返回地址，我猜应该是表示 LR寄存器，虚拟寄存器 X31
.text:0000000000003714                 STUR            X9, [X19,#-0x10]      保存返回地址
.text:0000000000003718                 B               def_4104
```
这条指令执行后，[X19,#-0x20] = 2，[X19,#-0x18] = Xm，这里可以猜测，虚拟指令执行到这里的时候 Xm一定等于 X22跳板函数地址，因为函数调用时必须保证 [X19,#-0x18] 指向跳板函数地址，并且[X19,#-0x10] 会保存下一条虚拟指令地址。所以这是一个函数调用指令。 BR Xm。**当然也可能是跳转指令或退出指令，取决于实际执行上下文时的 Xm值**

**4) op1 = 47, op2 = 26时**

```
.text:000000000000404C def_3360                                ; CODE XREF: sub_2D28+624↑j
.text:000000000000404C                 CMP             W13, #0x92E ; jumptable 0000000000003360 default case
.text:0000000000004050                 B.LE            loc_43B0
 
 
.text:00000000000043B0 loc_43B0                                ; CODE XREF: sub_2D28+1328↑j
.text:00000000000043B0                 CMP             W13, #0x6AE
.text:00000000000043B4                 B.LE            loc_43FC
.text:00000000000043B8                 CMP             W13, #0x76E
.text:00000000000043BC                 B.GT            loc_44C4
.text:00000000000043C0                 CMP             W13, #0x6AF
.text:00000000000043C4                 B.EQ            loc_45B0
 
 
.text:00000000000045B0 loc_45B0                                ; CODE XREF: sub_2D28+169C↑j
.text:00000000000045B0                 CBNZ            X1, def_4104 ; jumptable 0000000000002E4C default case
.text:00000000000045B0                                         ; jumptable 0000000000003360 cases 0,3,9,15,46,61
.text:00000000000045B0                                         ; jumptable 00000000000040C4 cases 4,6-14,16,18-25,27-41,43,46-57,59-62
.text:00000000000045B4                 ADD             X8, X21, W9,UXTW#3
.text:00000000000045B8                 LDR             X8, [X8,#8]
.text:00000000000045BC                 ADD             X0, X0, #4
.text:00000000000045C0                 MOV             W9, #2
.text:00000000000045C4                 STP             X9, X8, [X19,#-0x20] 保存 2，Xm 到 [X19,#-0x20] 和 [X19,#-0x18]
.text:00000000000045C8                 STR             X0, [X21]
.text:00000000000045CC                 CBNZ            X0, loc_2DD4          直接执行下一条指令
.text:00000000000045D0                 B               loc_4654
```

指令执行后 [X19,#-0x20] = 2，且  [X19,#-0x18] = Xm，当 Xm = 0 时，退出虚拟机，并且没有进入通用末尾，直接跳转到下一个指令分发处。所以很大可能还是执行下一个指令后退出虚拟机。

**5）函数执行和跳转具体逻辑**

```
.text:0000000000003E70 loc_3E70                                ; CODE XREF: sub_2D28+F18↑j
.text:0000000000003E70                                         ; sub_2D28+F20↑j
.text:0000000000003E70                 LDUR            X0, [X19,#-0x18]        取出地址
.text:0000000000003E74                 STUR            XZR, [X19,#-0x20]       控制变量清0
.text:0000000000003E78                 STR             X0, [X21]               保存PC指针
.text:0000000000003E7C                 CMP             X0, X20                 是否等于跳板函数地址               
.text:0000000000003E80                 B.NE            loc_3C54                如果不是，跳转到 0x3C54,对应跳转指令
.text:0000000000003E84
.text:0000000000003E84 loc_3E84                                ; CODE XREF: sub_2D28+F28↑j
.text:0000000000003E84                 LDR             X0, [X4]                X4对应的也是虚拟寄存器 X4,保存了调用函数地址
.text:0000000000003E88                 LDR             X1, [X5]                X5对应的也是虚拟寄存器 X5，保存了参数指针和返回值地址
.text:0000000000003E8C                 MOV             X24, X4
.text:0000000000003E90                 MOV             X26, X5
.text:0000000000003E94                 STR             X6, [SP,#0x60+var_58]
.text:0000000000003E98                 MOV             X23, X7
.text:0000000000003E9C                 BLR             X20                     函数调用
.text:0000000000003EA0                 LDR             X6, [SP,#0x60+var_58]
.text:0000000000003EA4                 LDUR            X0, [X19,#-0x10]
.text:0000000000003EA8                 MOV             X7, X23
.text:0000000000003EAC                 MOV             W23, #0x32F
.text:0000000000003EB0                 MOV             X4, X24
.text:0000000000003EB4                 MOV             W24, #0xFFF
.text:0000000000003EB8                 MOV             W30, #0x20
.text:0000000000003EBC                 MOVK            W23, #0x400,LSL#16
.text:0000000000003EC0                 MOV             X5, X26
.text:0000000000003EC4                 MOV             W26, #3
.text:0000000000003EC8                 MOVK            W24, #0x20,LSL#16
.text:0000000000003ECC                 STR             X0, [X21]               取下一个指令地址
.text:0000000000003ED0                 CBNZ            X0, loc_2DD4            不为 0，则跳转到取指分发处
.text:0000000000003ED4                 B               loc_4654
 
 
[X19,#-0x18]不是跳板函数地址时
.text:0000000000003C54 loc_3C54                                ; CODE XREF: sub_2D28+F10↑j
.text:0000000000003C54                 CBNZ            X0, loc_2DD4           X0不为 0，执行下一条虚拟指令
.text:0000000000003C58                 B               loc_4654
 
 
[X19,#-0x18]为 0 时
.text:0000000000004654 loc_4654                                ; CODE XREF: sub_2D28+60↑j
.text:0000000000004654                 LDP             X29, X30, [SP,#0x60+var_s0]     恢复寄存器，并返回，对应退出虚拟机。
.text:0000000000004658                 LDP             X20, X19, [SP,#0x60+var_10]
.text:000000000000465C                 LDP             X22, X21, [SP,#0x60+var_20]
.text:0000000000004660                 LDP             X24, X23, [SP,#0x60+var_30]
.text:0000000000004664                 LDP             X26, X25, [SP,#0x60+var_40]
.text:0000000000004668                 LDP             X28, X27, [SP,#0x60+var_50]
.text:000000000000466C                 ADD             SP, SP, #0x70
.text:0000000000004670                 RET
```
上述代码无论时跳转还是函数调用，都会 使用[X19,#-0x18]保存的值更新虚拟 PC，如果是函数调用指令，调用完后会从 [X19,#-0x10] 处取值更新虚拟 PC,然后执行下一条虚拟指令。
在虚拟指令中进行函数调用时，br Xm，这个虚拟寄存器 Xm一定是跳板函数的地址，虚拟寄存器 X4保存实际调用函数的地址，虚拟寄存器 X5保存了参数指针和返回值地址。

**所有虚拟指令已分析完，最后反汇编，分析算法**

```
  虚拟PC      指令       op1       op2                  伪汇编代码            
--------  --------  --------  --------  X4 = 参数列表指针
--------  --------  --------  --------  X5 = 0
--------  --------  --------  --------  X6 = 函数地址表
--------  --------  --------  --------  X7 = 跳板函数地址 sub_2D1C
--------  --------  --------  --------  X0 = 0
--------  --------  --------  --------  X31 = 0
--------  --------  --------  --------  X29 = 虚拟内存首地址 - 0x150,对应虚拟栈
00000000  DFBDFC28  40(0x28)  --------  ADD X29, X29, #-0x210         分配函数栈空间
00000004  23BF023B  59(0x3B)  --------  STR X31, [X29, #0x208]
00000008  23BE003B  59(0x3B)  --------  STR X30, [X29, #0x200]
0000000C  1FB70E3B  59(0x3B)  --------  STR X23, [X29, #0x1f8]
00000010  1FB60C3B  59(0x3B)  --------  STR X22, [X29, #0x1f0]
00000014  1FB50A3B  59(0x3B)  --------  STR X21, [X29, #0x1e8]
00000018  1FB4083B  59(0x3B)  --------  STR X20, [X29, #0x1e0]
0000001C  1FB3063B  59(0x3B)  --------  STR X19, [X29, #0x1d8]
00000020  1FB2043B  59(0x3B)  --------  STR X18, [X29, #0x1d0]
00000024  1FB1023B  59(0x3B)  --------  STR X17, [X29, #0x1c8]
00000028  1FB0003B  59(0x3B)  --------  STR X16, [X29, #0x1c0]         保存虚拟寄存器，跟 ARM64下的函数调用真的很像
0000002C  00E0862F  47(0x2F)  24(0x18)  ORR X16, X0, X7                X16 = X0 | X7 --> 跳板函数地址存在 X16
00000030  008B0402  02(0x02)  --------  LDR X11, [X4, #0x10]           X11 = args[2] 第 3 个参数
00000034  008C0002  02(0x02)  --------  LDR X12, [X4, #0x0]            X12 = args[0] 第 1 个参数
00000038  00C20002  02(0x02)  --------  LDR X2, [X6, #0x0]             X2 = 第一个函数地址
0000003C  00C30202  02(0x02)  --------  LDR X3, [X6, #0x8]             X3 = 第二个函数地址
00000040  00C50402  02(0x02)  --------  LDR X5, [X6, #0x10]            X5 = 第三个函数地址
00000044  00C70602  02(0x02)  --------  LDR X7, [X6, #0x18]            X7 = 第四个函数地址
00000048  00C80802  02(0x02)  --------  LDR X8, [X6, #0x20]            X8 = 第五个函数地址
0000004C  00C90A02  02(0x02)  --------  LDR X9, [X6, #0x28]            X9 = 第六个函数地址
00000050  008D0602  02(0x02)  --------  LDR X13, [X4, #0x18]           X13 = args[3] 第 4 个参数
00000054  00CA0C02  02(0x02)  --------  LDR X10, [X6, #0x30]           X10 = 第七个函数地址
00000058  00C60E02  02(0x02)  --------  LDR X6, [X6, #0x38]            X6 = 第八个函数地址
0000005C  00940202  02(0x02)  --------  LDR X20, [X4, #0x8]            X20 = args[1] 第 2 个参数
00000060  06810DA8  40(0x28)  --------  ADD X1, X20, #0x76             X1 = args[1] + 0x76
00000064  0BA1003B  59(0x3B)  --------  STR X1, [X29, #0x80]           保存 X1
00000068  01A40002  02(0x02)  --------  LDR X4, [X13, #0x0]            从原函数第 4 个参数处取值，第 4 个参数新的长度地址
0000006C  808100EF  47(0x2F)  03(0x03)  CMP X4, X1                     比较 新的长度 和 原始 byte[] 长度
                    47(0x2F)  03(0x03)  SET X1, LT                     如果小于，X1 = 1,否则 X1 = 0
00000074  00000C6F  47(0x2F)  49(0x31)  NOP             ;LSL    X0, X0, #0
00000070  002000CF  15(0x0F)  --------  B.EQ X0,X1,#0x80               如果大于则跳转到虚拟 PC 0x80处。               
0000007C  01A0003B  59(0x3B)  --------  STR X0, [X13, #0x0]            否则 新长度赋值为 0,表示处理失败
00000078  08000C6A  42(0x2A)  --------  B   0x284                      跳转到 虚拟 PC 0x284处执行
 
 
所以前面只是校验长度，新申请的内存长度比较大于原始长度 + 0x76
 
00000080  03AD043B  59(0x3B)  --------  STR X13, [X29, #0x10]          保存 X13,新长度地址
00000084  F801F844  04(0x04)  --------  MOV W1, #0xffa1, LSL#16        W1 = FFA10000
                    04(0x04)  --------  SXTW    X1, W1                
00000088  6021083E  62(0x3E)  --------  ORR X1, X1, #0x620             X1 = FFA10620
0000008C  00C129EF  47(0x2F)  39(0x27)  ADD X4, X1, X6                 X4 = X1 + X6 = 0x2D14 --> free_wrap
00000090  03A40E3B  59(0x3B)  --------  STR X4, [X29, #0x38]
00000094  014129EF  47(0x2F)  39(0x27)  ADD X4, X1, X10                X4 = X1 + X10 = 0x2CF8 --> aes_wrap
00000098  03A40C3B  59(0x3B)  --------  STR X4, [X29, #0x30]
0000009C  012129EF  47(0x2F)  39(0x27)  ADD X4, X1, X9                 X4 = X1 + X9 = 0x2CD8 --> memcpy_wrap_write_flag
000000A0  03A40A3B  59(0x3B)  --------  STR X4, [X29, #0x28]
000000A4  010129EF  47(0x2F)  39(0x27)  ADD X4, X1, X8                 X4 = X1 + X8 = 0x2CC8 --> memcpy_wrap
000000A8  03A4063B  59(0x3B)  --------  STR X4, [X29, #0x18]
000000AC  00E129EF  47(0x2F)  39(0x27)  ADD X4, X1, X7                 X4 = X1 + X7 = 0x2CB8 --> sha512_wrap
000000B0  03A4023B  59(0x3B)  --------  STR X4, [X29, #0x8]
000000B4  00A1B9EF  47(0x2F)  39(0x27)  ADD X22, X1, X5                X22 = X1 + X5 = 0x2CA4 --> 外部函数，非库函数。同时有 vm 混淆
000000B8  8061B9EF  47(0x2F)  39(0x27)  ADD X23, X1, X3                X23 = X1 + X3 = 0x2C6C --> srand(time(null))、rand随机数
000000BC  0041F9EF  47(0x2F)  39(0x27)  ADD X30, X1, X2                X30 = X1 + X2 = 0x2C50 --> malloc_wrap
000000C0  00110828  40(0x28)  --------  ADD X17, X0, #0x20             X17 = X0 + 0x20 = 0x20
000000C4  1BB10C3B  59(0x3B)  --------  STR X17, [X29, #0x1b0]         0x20 存入 [X29, #0x1b0]
000000C8  1BA50C28  40(0x28)  --------  ADD X5, X29, #0x1b0            X5 = X29 + 0x1b0，这里 X5是 0x20长度的地址。
000000CC  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30                X4 = X30，这里传入第一个参数， malloc_wrap 地址
000000D0  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16               X25 = X16 ->跳板函数地址
000000D4  03AB083B  59(0x3B)  --------  STR X11, [X29, #0x20]          保存原始参数 new_byte[]
000000DC  03AC003B  59(0x3B)  --------  STR X12, [X29, #0x0]           保存原始参数 byte[]
000000D8  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31        调用跳板函数 传入 malloc_wrap， malloc(0x20),申请 32 字节空间
000000E0  1BB10A3B  59(0x3B)  --------  STR X17, [X29, #0x1a8]         长度
000000E4  1BB50E02  02(0x02)  --------  LDR X21, [X29, #0x1b8].        malloc申请的地址
000000E8  1BB5083B  59(0x3B)  --------  STR X21, [X29, #0x1a0]         malloc申请的地址
000000EC  1BA50828  40(0x28)  --------  ADD X5, X29, #0x1a0            取地址传参
000000F0  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000000F8  02E0262F  47(0x2F)  24(0x18)  ORR X4, X0, X23                wrap_rand(void*args) args[0] = void*, args[1] = len, 长 32字节的随机数
000000F4  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31
000000FC  1BA50428  40(0x28)  --------  ADD X5, X29, #0x190            X5 这里也是地址，值是 0x10
00000100  00170428  40(0x28)  --------  ADD X23, X0, #0x10             X23 = 0x10
00000104  1BB7043B  59(0x3B)  --------  STR X23, [X29, #0x190]         [X29, #0x190] = 0x10
00000108  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16               X25 = X16,同样是跳板函数
 
00000110  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30                X4 = X30, malloc_wrap
0000010C  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31        再次 malloc(0x10)
00000114  1BA50028  40(0x28)  --------  ADD X5, X29, #0x180            X5 = X29 + 0x180
00000118  1BB7003B  59(0x3B)  --------  STR X23, [X29, #0x180]         0x10
0000011C  1BB30602  02(0x02)  --------  LDR X19, [X29, #0x198]         malloc(0x10)返回的地址
00000120  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16               跳板
00000128  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30                X4 = 0x30 ,还是 malloc_wrap
00000124  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31        malloc(0x10)
0000012C  17A50428  40(0x28)  --------  ADD X5, X29, #0x150            开始的参数
00000130  17B5043B  59(0x3B)  --------  STR X21, [X29, #0x150]         参数1：malloc(0x20) 返回地址，随机数
00000134  17B1063B  59(0x3B)  --------  STR X17, [X29, #0x158]         参数2：随机数 0x20长度
00000138  17B3083B  59(0x3B)  --------  STR X19, [X29, #0x160]         参数3：malloc(0x10) 返回地址    
0000013C  17B70A3B  59(0x3B)  --------  STR X23, [X29, #0x168]         参数4：0x10长度
00000140  17B70E3B  59(0x3B)  --------  STR X23, [X29, #0x178]         参数6：0x10长度
00000144  1BB20202  02(0x02)  --------  LDR X18, [X29, #0x188]        
00000148  17B20C3B  59(0x3B)  --------  STR X18, [X29, #0x170]         参数5：malloc(0x10) 返回地址
0000014C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000154  02C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X22                X4 = X22 = vm_function()，传入了 7 个参数
00000150  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31
00000158  06970028  40(0x28)  --------  ADD X23, X20, #0x40            X23 = X20 + 0x40 -> args[1] + 0x40，原函数 byte[] 大小 + 0x40
0000015C  17A50028  40(0x28)  --------  ADD X5, X29, #0x140
00000160  17B7003B  59(0x3B)  --------  STR X23, [X29, #0x140]
00000164  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
0000016C  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30
00000168  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31        malloc(size(byte[]) + 0x40)
00000170  07BE0028  40(0x28)  --------  ADD X30, X29, #0x40
00000174  17B60202  02(0x02)  --------  LDR X22, [X29, #0x148]         malloc后的地址
00000178  13B40C3B  59(0x3B)  --------  STR X20, [X29, #0x130]        参数2： args[1] 原始 byte[] 大小
0000017C  03B10002  02(0x02)  --------  LDR X17, [X29, #0x0]
00000180  13B10A3B  59(0x3B)  --------  STR X17, [X29, #0x128]        参数1： [X29] -> byte[],原函数传入二进制
00000184  13BE0E3B  59(0x3B)  --------  STR X30, [X29, #0x138]        参数3： X29 + #0x40 地址
00000188  03A40202  02(0x02)  --------  LDR X4, [X29, #0x8]          
0000018C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16              sha512_wrap
00000194  13A50A28  40(0x28)  --------  ADD X5, X29, #0x128
00000190  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31       sha512_wrap ，执行后 X29 + #0x40 开始保存 sha512值，长 40
 
00000198  13A50428  40(0x28)  --------  ADD X5, X29, #0x110
0000019C  04010028  40(0x28)  --------  ADD X1, X0, #0x40
000001A0  13BE063B  59(0x3B)  --------  STR X30, [X29, #0x118]        参数2：X29+0x40地址，即上一步获取的 sha512值
000001A4  13B6043B  59(0x3B)  --------  STR X22, [X29, #0x110]        参数1：malloc(原始byte[]大小 + 0x40)后的地址
000001A8  13A1083B  59(0x3B)  --------  STR X1, [X29, #0x120]         参数3：0x40
000001AC  03BE0602  02(0x02)  --------  LDR X30, [X29, #0x18]         X30 = [X29, #0x18] = memcpy_wrap
000001B0  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000001B8  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30
000001B4  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31.      memcpy_wrap 拷贝 sha512值，到新地址
 
000001BC  0FA50E28  40(0x28)  --------  ADD X5, X29, #0xf8           参数1：新地址+0x40处
000001C0  06C10028  40(0x28)  --------  ADD X1, X22, #0x40
000001C4  13B1003B  59(0x3B)  --------  STR X17, [X29, #0x100]       参数2：原 byte[]
000001C8  8240862F  47(0x2F)  24(0x18)  ORR X17, X0, X18             X17 = X18
000001CC  0FA10E3B  59(0x3B)  --------  STR X1, [X29, #0xf8]
000001D0  13B4023B  59(0x3B)  --------  STR X20, [X29, #0x108]       参数3：byte[] 大小
000001D4  0260A62F  47(0x2F)  24(0x18)  ORR X20, X0, X19             X20 = X19
000001D8  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000001E0  03C0262F  47(0x2F)  24(0x18)  ORR X4, X0, X30              memcpy_wrap
000001DC  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31      memcpy_wrap
 
000001E4  00010815  21(0x15)  --------  ADD X1, X0, #0x20
000001E8  0FB50A3B  59(0x3B)  --------  STR X21, [X29, #0xe8]       参数2： malloc(0x20)的地址，这个地址传入新的 vm函数被赋值过。
000001EC  03B30802  02(0x02)  --------  LDR X19, [X29, #0x20]      
000001F0  0FB3083B  59(0x3B)  --------  STR X19, [X29, #0xe0]       参数1： 原参数new_byte[]
000001F4  0FA10C36  54(0x36)  --------  STR X1, [X29, #0xf0]        参数3： 0x20
000001F8  03A40A02  02(0x02)  --------  LDR X4, [X29, #0x28]
000001FC  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16            memcpy_wrap_write_flag,对前 6 个字节写入固定4字节 magic 和 2 字节的 0，从下标+6开始拷贝
00000204  0FA50828  40(0x28)  --------  ADD X5, X29, #0xe0
00000200  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31     memcpy_wrap_write_flag ->向目标内存中写入了 26 字节。
 
00000208  026109A8  40(0x28)  --------  ADD X1, X19, #0x26
0000020C  00020415  21(0x15)  --------  ADD X2, X0, #0x10
00000210  0BA30028  40(0x28)  --------  ADD X3, X29, #0x80
00000214  0BB40A3B  59(0x3B)  --------  STR X20, [X29, #0xa8]        参数1：malloc(0x10)地址，vm函数中初始化
00000218  0BA20C36  54(0x36)  --------  STR X2, [X29, #0xb0]         参数2：0x10,对应长度
0000021C  0BB10E3B  59(0x3B)  --------  STR X17, [X29, #0xb8]        参数3：malloc(0x10)地址，同样在 vm函数中初始化
00000220  0FB6003B  59(0x3B)  --------  STR X22, [X29, #0xc0]        参数4：malloc(原始byte[]大小 + 0x40)后的地址，此时是 sha512 + 原始 byte[]
00000224  0FB7023B  59(0x3B)  --------  STR X23, [X29, #0xc8].       参数5：对应大小 size(byte[]) + 0x40
00000228  0FA1043B  59(0x3B)  --------  STR X1, [X29, #0xd0]         参数6：new_byte[] + 0x26偏移，因为前面已经写入了 0x26
0000022C  0FA3063B  59(0x3B)  --------  STR X3, [X29, #0xd8].        参数7：new_byte[] 长度 - 0x26，地址
00000230  0BA10002  02(0x02)  --------  LDR X1, [X29, #0x80]
00000234  FC21F6A8  40(0x28)  --------  ADD X1, X1, #-0x26
00000238  0BA1003B  59(0x3B)  --------  STR X1, [X29, #0x80]
0000023C  03A40C02  02(0x02)  --------  LDR X4, [X29, #0x30]
00000240  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16              aes_wrap
00000248  0BA50A28  40(0x28)  --------  ADD X5, X29, #0xa8
00000244  8320F5AF  47(0x2F)  22(0x16)  CALL X25        ;LR=X31       aes_wrap   所以这是一个 aes 加密函数，所以 malloc(0x10) 对应加密 key,下一个 malloc(0x10)是IV
 
0000024C  0BA20002  02(0x02)  --------  LDR X2, [X29, #0x80]
00000254  00000C6F  47(0x2F)  49(0x31)  NOP             ;LSL    X0, X0, #0
00000250  0040014F  15(0x0F)  --------  B.HI    #0x268          ;X0, X2, $0x14
00000258  004109A8  40(0x28)  --------  ADD X1, X2, #0x26
0000025C  03A20402  02(0x02)  --------  LDR X2, [X29, #0x10]
00000264  0041003B  59(0x3B)  --------  STR X1, [X2, #0x0]
00000260  0800072A  42(0x2A)  --------  B   0x230
00000268  03A10402  02(0x02)  --------  LDR X1, [X29, #0x10]
0000026C  0020003B  59(0x3B)  --------  STR X0, [X1, #0x0]
00000270  0BB6083B  59(0x3B)  --------  STR X22, [X29, #0xa0]         malloc(原始byte[]大小 + 0x40)后的地址 ,释放内存
00000274  0BA50828  40(0x28)  --------  ADD X5, X29, #0xa0
00000278  03B20E02  02(0x02)  --------  LDR X18, [X29, #0x38]         free_wrap
0000027C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000284  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18
00000280  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31       free_wrap
 
00000288  0BB1063B  59(0x3B)  --------  STR X17, [X29, #0x98]          iv地址
0000028C  0BA50628  40(0x28)  --------  ADD X5, X29, #0x98
00000290  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000298  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18
00000294  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31.   free_wrap
0000029C  0BA50428  40(0x28)  --------  ADD X5, X29, #0x90
000002A0  0BB4043B  59(0x3B)  --------  STR X20, [X29, #0x90]        malloc(0x10)，aes_key，内存释放
000002A4  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000002AC  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18              free_wrap
000002A8  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31
000002B0  0BA50228  40(0x28)  --------  ADD X5, X29, #0x88
000002B4  0BB5023B  59(0x3B)  --------  STR X21, [X29, #0x88]        malloc(0x20) 内存释放
000002B8  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000002C0  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18
000002BC  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31      free_wrap
 
000002C4  1FB00002  02(0x02)  --------  LDR X16, [X29, #0x1c0]       函数调用完，恢复虚拟函数栈
000002C8  1FB10202  02(0x02)  --------  LDR X17, [X29, #0x1c8]
000002CC  1FB20402  02(0x02)  --------  LDR X18, [X29, #0x1d0]
000002D0  1FB30602  02(0x02)  --------  LDR X19, [X29, #0x1d8]
000002D4  1FB40802  02(0x02)  --------  LDR X20, [X29, #0x1e0]
000002D8  1FB50A02  02(0x02)  --------  LDR X21, [X29, #0x1e8]
000002DC  1FB60C02  02(0x02)  --------  LDR X22, [X29, #0x1f0]
000002E0  1FB70E02  02(0x02)  --------  LDR X23, [X29, #0x1f8]
000002E4  23BE0002  02(0x02)  --------  LDR X30, [X29, #0x200]
000002E8  23BF0202  02(0x02)  --------  LDR X31, [X29, #0x208]
000002F0  23BD0428  40(0x28)  --------  ADD X29, X29, #0x210
000002EC  03E006AF  47(0x2F)  26(0x1A)  RET         ;CALL X31
```

上述虚拟指令的逻辑如下：
1、同 ARM64平台的函数调用一样，先申请函数栈空间，然后保存现场环境，即必要的一些寄存器保存起来，函数执行完后再恢复。
2、转存真实的函数参数和读取加密后的函数地址。
3、分析参数，目标内存大小必须要至少比原二进制大 0x76,这和后面算法的流程有关，若不满足，则跳转后退出。
4、解密函数地址，解密方式就是与常量 0xFFA10620相加，带符号。
5、实际的算法流程，算法流程在后面解释。
7、free释放算法处理中malloc申请的内存。
8、函数调用完，恢复寄存器，函数返回。

**关于函数参数和返回值的处理：**
虚拟寄存器 X4存放了实际函数地址

虚拟寄存器 X5是一个地址，里面连续存储了参数参数列表和返回值，以 malloc_wrap为例，位于 0x2C50

```
.text:0000000000002C50 ; __unwind {
.text:0000000000002C50                 STP             X19, X30, [SP,#-0x10]!
.text:0000000000002C54                 MOV             X19, X0   参数1，是一个参数指针，连续地址存放参数
.text:0000000000002C58                 LDR             X0, [X19] 取出第一个参数，申请的大小
.text:0000000000002C5C                 BL              .malloc   调用
.text:0000000000002C60                 STR             X0, [X19,#8]  返回值保存在参数指针，参数的后面
.text:0000000000002C64                 LDP             X19, X30, [SP],#0x10
.text:0000000000002C68                 RET
```

经过逐行分析，上述代码的逻辑已经很清楚了。
1、首先申请 0x20字节内存，并生成随机数填满。
2、申请内存用于保存 key 和 iv
3、根据随机数，调用另一个 vm混淆的函数，生成aes加密需要的 key 和 iv，都是 0x10字节。该 VM函数暂未分析。
4、再次申请 size + 0x40字节的内存空间。
5、sha512计算原二进制的 hash,得到一个长度为 0x40字节，将 hash和原二进制都保存到上面申请的地址中。
6、拷贝 6 字节 magic和 0x20字节随机数到目标的内存的前面

![图片描述](upload/attach/202503/770147_2X7AF3489HBJAYX.webp)
6字节 flag是  "\x74\x63\x05\x10\x00\x00"
7、aes加密，待加密数据是第 5 步获取的二进制串，保存到目标内存+0x26偏移处。
8、释放内存，释放了 aes_key内存、iv内存、rand内存和 hash拼接串内存。

**该虚拟机方案总结**
1、虚拟指令使用固定 4 字节编码，操作码可能有 1 个或2个，操作码使用 6 位编码，寄存器使用5 位编码，因此一条指令可以表示 2 个操作码和 4 个寄存器，寄存器可以有 32 个。

2、使用一个控制变量实现函数调用和跳转指令，控制变量的值是 0 1 2 3,其中 0 是默认值，表示没有跳转相关指令。1会在指令结束后执行跳转，2 会在下一个指令的开头赋值成 3，并在下一个指令结束后执行跳转或函数调用或退出。会有一个地址变量决定是什么操作，如果地址是 0，表示退出虚拟机，如果等于跳板函数地址，则执行函数调用，否则执行跳转操作。如果时函数调用，则在调用完后，从返回地址变量中恢复下一个虚拟指令地址。

3、函数调用使用一个跳板函数实现，调用跳板函数时，参数 1 是实际函数地址，参数 2 是参数和返回值指针，这里的实际函数地址也是对实际真实函数的一个包装，目的时可以从参数指针中取出参数并调用，并且保存返回值。

4 、虚拟机调用的外部函数存放在一个函数表中，函数地址有加密，并在虚拟指令执行时解密，解密方式只是一个加法运算。

**分析另一个 VM混淆函数**
 虚拟指令中会调用函数地址 0x2CA4，这是一个wrap，用于传入随机数，生成aes_key，和 iv，真实的函数也使用vm混淆过，但为了还原算法，也必须分析这个函数的逻辑

```
.text:0000000000002CA4 ; __unwind {
.text:0000000000002CA4                 LDP             X8, X1, [X0] 函数共 6 个参数，通用一个参数指针传递
.text:0000000000002CA8                 LDP             X2, X3, [X0,#0x10]
.text:0000000000002CAC                 LDP             X4, X5, [X0,#0x20]
.text:0000000000002CB0                 MOV             X0, X8
.text:0000000000002CB4                 B               sub_4AFC
```
这个函数通过指针传递了 6 个参数，通过前面的分析可以知道，这 6 个参数分别是 pRand, randLen, pKey, keyLen, pIV, ivLen。函数代码如下

```
.text:0000000000004AFC ; __unwind {
.text:0000000000004AFC                 STP             X28, X19, [SP,#-0x10+var_10]!
.text:0000000000004B00                 STP             X29, X30, [SP,#0x10+var_s0]
.text:0000000000004B04                 ADD             X29, SP, #0x10
.text:0000000000004B08                 SUB             SP, SP, #0x4A0
.text:0000000000004B0C                 MRS             X19, #3, c13, c0, #2
.text:0000000000004B10                 LDR             X8, [X19,#0x28]
.text:0000000000004B14                 ADRP            X9, #sub_4C74@PAGE
.text:0000000000004B18                 ADD             X9, X9, #sub_4C74@PAGEOFF      跳板函数地址，虽然跟前面不是同一个，但功能一样
.text:0000000000004B1C                 STUR            X8, [X29,#var_18]
.text:0000000000004B20                 ADD             X8, SP, #0x4B0+var_468
.text:0000000000004B24                 STP             X0, X1, [SP,#0x4B0+var_4A8]
.text:0000000000004B28                 STP             X2, X3, [SP,#0x4B0+var_498]
.text:0000000000004B2C                 ADRP            X0, #unk_DFC0@PAGE
.text:0000000000004B30                 ADRP            X3, #off_21D20@PAGE
.text:0000000000004B34                 ADD             X8, X8, #0x448
.text:0000000000004B38                 STP             X4, X5, [SP,#0x4B0+var_488]    参数5：跳板函数地址和虚拟内存地址
.text:0000000000004B3C                 ADD             X0, X0, #unk_DFC0@PAGEOFF      参数1：字节码地址
.text:0000000000004B40                 ADD             X3, X3, #off_21D20@PAGEOFF     参数4：函数地址表
.text:0000000000004B44                 ADD             X1, SP, #0x4B0+var_4A8         参数2：参数指针
.text:0000000000004B48                 ADD             X4, SP, #0x4B0+var_478
.text:0000000000004B4C                 MOV             X2, XZR                        参数3：0
.text:0000000000004B50                 STP             X9, X8, [SP,#0x4B0+var_478]    设置参数 5
.text:0000000000004B54                 BL              sub_4C80                       调用虚拟机函数
.text:0000000000004B58                 LDR             X8, [X19,#0x28]
.text:0000000000004B5C                 LDUR            X9, [X29,#var_18]
.text:0000000000004B60                 CMP             X8, X9
.text:0000000000004B64                 B.NE            loc_4B78
.text:0000000000004B68                 ADD             SP, SP, #0x4A0
.text:0000000000004B6C                 LDP             X29, X30, [SP,#0x10+var_s0]
.text:0000000000004B70                 LDP             X28, X19, [SP+0x10+var_10],#0x20
.text:0000000000004B74                 RET
```
这个也函数也只是调用虚拟机函数的入口，传入字节码地址等参数，实际是调用 vm混淆函数 sub_4C80。这里的逻辑和上面分析的 sub_2BD4一样。

这个虚拟机函数的字节码地址位于0xDFC0，字节码长度为 0x1C8，解释器逻辑和前面的一样，统计字节码个数如下：

op1: 40: 15
op1: 59: 38
op1: 2: 27
op1: 4: 1
op1: 62: 1
op1: 47, op2: 24: 16
op1: 47, op2: 39: 6
op1: 47, op2: 22: 9
op1: 47, op2: 26: 1

涉及的字节码前面都有分析过，那么分析参数传递后直接反汇编成伪代码：
虚拟机初始化代码：

```
.text:0000000000004C80 ; __unwind {
.text:0000000000004C80                 SUB             SP, SP, #0x70
.text:0000000000004C84                 STP             X28, X27, [SP,#0x60+var_50]
.text:0000000000004C88                 STP             X26, X25, [SP,#0x60+var_40]
.text:0000000000004C8C                 STP             X24, X23, [SP,#0x60+var_30]
.text:0000000000004C90                 STP             X22, X21, [SP,#0x60+var_20]
.text:0000000000004C94                 STP             X20, X19, [SP,#0x60+var_10]
.text:0000000000004C98                 STP             X29, X30, [SP,#0x60+var_s0]
.text:0000000000004C9C                 ADD             X29, SP, #0x60
.text:0000000000004CA0                 LDP             X20, X19, [X4].      和上一个虚拟机一样，X20存放跳板函数，X19存放虚拟机内存
.text:0000000000004CA4                 SUB             X8, X19, #0x130
.text:0000000000004CA8                 STUR            XZR, [X19,#-0x38].   虚拟寄存器 X31 = 0,LR寄存器
.text:0000000000004CAC                 STR             XZR, [X8]            虚拟寄存器 X0 = 0
.text:0000000000004CB0                 SUB             X8, X19, #0x148
.text:0000000000004CB4                 SUB             X21, X19, #0x138     X21 = X19 - 0x138，保存虚拟 Context指针
.text:0000000000004CB8                 AND             X8, X8, #0xFFFFFFFFFFFFFFF0       16 字节对齐，栈指针
.text:0000000000004CBC                 SUB             X4, X19, #0x110
.text:0000000000004CC0                 SUB             X5, X19, #0x108
.text:0000000000004CC4                 STUR            X8, [X19,#-0x48]
.text:0000000000004CC8                 STUR            XZR, [X19,#-0x20]
.text:0000000000004CCC                 STR             X1, [X4]                   原函数参数指针，保存在虚拟寄存器 X4
.text:0000000000004CD0                 STR             X2, [X5]                   虚拟寄存器 X5 = 0
.text:0000000000004CD4                 STP             X3, X20, [X19,#-0x100].    虚拟寄存器 X6 = 函数地址表，虚拟寄存器 X7 = 跳板函数地址
.text:0000000000004CD8                 STR             X0, [X21]                  虚拟 PC指针，[X21 + 0x0]保存
.text:0000000000004CDC                 STUR            X0, [X19,#-8]              X19 - 0x8 保存字节码首地址
.text:0000000000004CE0                 CBZ             X0, loc_65AC
.text:0000000000004CE4                 MOV             W23, #0x32F
.text:0000000000004CE8                 MOV             W24, #0xFFF
.text:0000000000004CEC                 ADRP            X28, #jpt_4DA4@PAGE
.text:0000000000004CF0                 ADRP            X22, #jpt_4DEC@PAGE
.text:0000000000004CF4                 ADRP            X27, #jpt_4E70@PAGE
.text:0000000000004CF8                 ADRP            X25, #jpt_4F10@PAGE
.text:0000000000004CFC                 MOV             X1, XZR
.text:0000000000004D00                 SUB             X6, X19, #0x28
.text:0000000000004D04                 SUB             X7, X19, #0x30
.text:0000000000004D08                 MOVK            W23, #0x400,LSL#16
.text:0000000000004D0C                 MOVK            W24, #0x20,LSL#16
.text:0000000000004D10                 MOV             W26, #3
.text:0000000000004D14                 ADD             X28, X28, #jpt_4DA4@PAGEOFF
.text:0000000000004D18                 ADD             X22, X22, #jpt_4DEC@PAGEOFF
.text:0000000000004D1C                 MOV             W30, #0x20
.text:0000000000004D20                 ADD             X27, X27, #jpt_4E70@PAGEOFF
.text:0000000000004D24                 ADD             X25, X25, #jpt_4F10@PAGEOFF
.text:0000000000004D28                 B               loc_4D30
```

真实函数参数指针保存在 [X19 - 0x110]，即虚拟寄存器 X4。

参数 3 保存在 [X19 - 0x108]，即虚拟寄存器 X5 = 0。

参数4 ,函数地址， 保存在 [X19-0x100]，即虚拟寄存器 X6。

跳板函数sub_4C74保存在 [X19- 0xF8]，即虚拟寄存器 X7。

初始化时其它操作：

上面的分析可以看出。初始化方式和前面的虚拟机函数一模一样，那么直接套用原来的方式即可反汇编字节码。
伪汇编代码：

```
  虚拟PC      指令       op1       op2                  伪汇编代码            
--------  --------  --------  --------  X4 = 参数列表指针
--------  --------  --------  --------  X5 = 0
--------  --------  --------  --------  X6 = 函数地址表                         0x21D20
--------  --------  --------  --------  X7 = 跳板函数地址 sub_4C74
--------  --------  --------  --------  X0 = 0
--------  --------  --------  --------  X31 = 0
--------  --------  --------  --------  X29 = 虚拟内存首地址 - 0x150,对应虚拟栈
00000000  EBBDF028  40(0x28)  --------  ADD X29, X29, #-0x180                 分配函数栈
00000004  17BF0E3B  59(0x3B)  --------  STR X31, [X29, #0x178]
00000008  17BE0C3B  59(0x3B)  --------  STR X30, [X29, #0x170]
0000000C  17B70A3B  59(0x3B)  --------  STR X23, [X29, #0x168]
00000010  17B6083B  59(0x3B)  --------  STR X22, [X29, #0x160]
00000014  17B5063B  59(0x3B)  --------  STR X21, [X29, #0x158]
00000018  17B4043B  59(0x3B)  --------  STR X20, [X29, #0x150]
0000001C  17B3023B  59(0x3B)  --------  STR X19, [X29, #0x148]
00000020  17B2003B  59(0x3B)  --------  STR X18, [X29, #0x140]
00000024  13B10E3B  59(0x3B)  --------  STR X17, [X29, #0x138]
00000028  13B00C3B  59(0x3B)  --------  STR X16, [X29, #0x130]
0000002C  00E0862F  47(0x2F)  24(0x18)  ORR X16, X0, X7                     X16 = X7 = sub_4C74
00000030  00C10802  02(0x02)  --------  LDR X1, [X6, #0x20]                 第 5 个函数地址 0x5F464C
00000034  03A10A3B  59(0x3B)  --------  STR X1, [X29, #0x28]
00000038  00810A02  02(0x02)  --------  LDR X1, [X4, #0x28]                 第 6 个 参数，IV的长度.    0x10
0000003C  03A1083B  59(0x3B)  --------  STR X1, [X29, #0x20]
00000040  00810802  02(0x02)  --------  LDR X1, [X4, #0x20]                 第 5 个参数 IV 地址
00000044  03A1063B  59(0x3B)  --------  STR X1, [X29, #0x18]
00000048  00810602  02(0x02)  --------  LDR X1, [X4, #0x18]                 第 4 个 参数 aes_key 长度. 0x10
0000004C  03A1043B  59(0x3B)  --------  STR X1, [X29, #0x10]
00000050  00810402  02(0x02)  --------  LDR X1, [X4, #0x10]                 第 3 个 参数 aes_key 地址
00000054  03A1023B  59(0x3B)  --------  STR X1, [X29, #0x8]
00000058  00D40602  02(0x02)  --------  LDR X20, [X6, #0x18]                第 4 个函数地址 0x5F4598
0000005C  00D20402  02(0x02)  --------  LDR X18, [X6, #0x10]                第 3 个函数地址 0x5F4588
00000060  00950002  02(0x02)  --------  LDR X21, [X4, #0x0]                 第 1 个参数 rand随机数地址
00000064  00930202  02(0x02)  --------  LDR X19, [X4, #0x8]                 第 2 个参数 rand随机数长度 0x20
00000068  00D10202  02(0x02)  --------  LDR X17, [X6, #0x8].                第 2 个函数地址 0x5F4578
0000006C  00C10002  02(0x02)  --------  LDR X1, [X6, #0x0]                  第 1 个函数地址 0x5F455C
00000070  08020028  40(0x28)  --------  ADD X2, X0, #0x80                   X2 = 0x80
00000074  13A2083B  59(0x3B)  --------  STR X2, [X29, #0x120]
00000078  F802F844  04(0x04)  --------  MOV W2, #0xffa1, LSL#16.            W2 = ffa10000
                    04(0x04)  --------  SXTW    X2, W2
0000007C  6057083E  62(0x3E)  --------  ORR X23, X2, #0x620                 X23 = ffa10620 跟前面的一样，用于解密函数地址
00000080  003729EF  47(0x2F)  39(0x27)  ADD X4, X23, X1                     X4 = 第一个函数地址 0xffa10620 + 0x5F455C = 0x4B7C -> malloc_wrap
00000084  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16                    X25 = X16 跳板函数地址
0000008C  13A50828  40(0x28)  --------  ADD X5, X29, #0x120                 参数，长度 0x80地址  
00000088  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31             malloc.   申请0x80字节内存，保存到 X29 + 0x128
 
00000090  13BE0A02  02(0x02)  --------  LDR X30, [X29, #0x128].             申请的内存地址
00000094  823789EF  47(0x2F)  39(0x27)  ADD X17, X23, X17                   X17 = 第二个函数地址 0xffa10620 + 0x5F4578 = 0x4B98 -> sha512_wrap
00000098  13A50228  40(0x28)  --------  ADD X5, X29, #0x108.           
0000009C  03B60C28  40(0x28)  --------  ADD X22, X29, #0x30                 X22 = X29 + 0x30
000000A0  13B3043B  59(0x3B)  --------  STR X19, [X29, #0x110]              参数2：随机数长度 0x20
000000A4  13B5023B  59(0x3B)  --------  STR X21, [X29, #0x108]              参数1：传入的rand随机数地址
000000A8  13B6063B  59(0x3B)  --------  STR X22, [X29, #0x118]              参数3：buff
000000AC  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000000B4  0220262F  47(0x2F)  24(0x18)  ORR X4, X0, X17
000000B0  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31             sha512, X29 + 0x30保存 hash值，长 0x40
 
000000B8  025799EF  47(0x2F)  39(0x27)  ADD X18, X23, X18                   X18 = 第三个函数地址 0x5F4588 + 0xffa10620 = 0x4BA8 -> memcpy_wrap
000000BC  0FA50C28  40(0x28)  --------  ADD X5, X29, #0xf0
000000C0  04130028  40(0x28)  --------  ADD X19, X0, #0x40
000000C4  0FB60E3B  59(0x3B)  --------  STR X22, [X29, #0xf8]               参数2：buff,上一步计算得到的 sha512值
000000C8  0FBE0C3B  59(0x3B)  --------  STR X30, [X29, #0xf0].              参数1：申请的内存地址，长度 0x80
000000CC  13B3003B  59(0x3B)  --------  STR X19, [X29, #0x100]              参数3：0x40，sha512的长度
000000D0  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000000D8  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18                     memcpy
000000D4  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31         memcpy_wrap -> 拷贝sha512值写入到新申请的内存前 0x40字节
 
000000DC  029729EF  47(0x2F)  39(0x27)  ADD X4, X23, X20                    X4 = 第四个函数地址 0x5F4598 + 0xffa10620 = 0x4BB8 -> 获取解密key
000000E0  0FA50628  40(0x28)  --------  ADD X5, X29, #0xd8
000000E4  0FB3083B  59(0x3B)  --------  STR X19, [X29, #0xe0]               参数2：0x40,这个应该是下标
000000E8  0FBE063B  59(0x3B)  --------  STR X30, [X29, #0xd8]               参数1：申请内存的首地址。上一步拷贝成了 sha512值
000000EC  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
000000F4  0FB30A3B  59(0x3B)  --------  STR X19, [X29, #0xe8]               参数3：长度 0x40
000000F0  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31.        调用后将后面 0x40也填充数据
 
000000F8  0FA50028  40(0x28)  --------  ADD X5, X29, #0xc0                 
000000FC  08010028  40(0x28)  --------  ADD X1, X0, #0x80
00000100  0FA1023B  59(0x3B)  --------  STR X1, [X29, #0xc8]                参数2：0x80，总长度
00000104  0FBE003B  59(0x3B)  --------  STR X30, [X29, #0xc0]               参数1：申请内存的首地址
00000108  0FB6043B  59(0x3B)  --------  STR X22, [X29, #0xd0]               参数3：buff
0000010C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000114  0220262F  47(0x2F)  24(0x18)  ORR X4, X0, X17                     sha512_wrap
00000110  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31         再次计算整个的 sha512值保存到 buff
 
00000118  0BA50A28  40(0x28)  --------  ADD X5, X29, #0xa8
0000011C  0BB60C3B  59(0x3B)  --------  STR X22, [X29, #0xb0]               参数2：buff
00000120  0BBE0A3B  59(0x3B)  --------  STR X30, [X29, #0xa8]               参数1：申请内存的首地址
00000124  0BB30E3B  59(0x3B)  --------  STR X19, [X29, #0xb8]               参数3：长度 0x40
00000128  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000130  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18                     memcpy
0000012C  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31         拷贝后使用整个串的 sha512 覆盖了原 随机数的sha512值
 
00000134  0BA50428  40(0x28)  --------  ADD X5, X29, #0x90
00000138  0BBE063B  59(0x3B)  --------  STR X30, [X29, #0x98]               参数2：申请内存的首地址
0000013C  03A10202  02(0x02)  --------  LDR X1, [X29, #0x8]
00000140  0BA1043B  59(0x3B)  --------  STR X1, [X29, #0x90]                参数1：aes_key 地址
00000144  03B10402  02(0x02)  --------  LDR X17, [X29, #0x10]
00000148  0BB1083B  59(0x3B)  --------  STR X17, [X29, #0xa0]               参数3: aes_key 长度
0000014C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000154  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18                     还是 memcpy
00000150  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31         作用是设置了 aes_key
 
00000158  83D109EF  47(0x2F)  39(0x27)  ADD X1, X17, X30
0000015C  07A50E28  40(0x28)  --------  ADD X5, X29, #0x78
00000160  0BA1003B  59(0x3B)  --------  STR X1, [X29, #0x80]                参数2：申请内存首地址 + aes_key 长度偏移
00000164  03A10602  02(0x02)  --------  LDR X1, [X29, #0x18]
00000168  07A10E3B  59(0x3B)  --------  STR X1, [X29, #0x78]                参数1：iv 地址
0000016C  03A10802  02(0x02)  --------  LDR X1, [X29, #0x20]
00000170  0BA1023B  59(0x3B)  --------  STR X1, [X29, #0x88]                参数3；iv 长度
00000174  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16                    还是 memcpy
0000017C  0240262F  47(0x2F)  24(0x18)  ORR X4, X0, X18
00000178  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31         作用是设置 iv，到这里 key 和 iv 都已经设置完成
 
00000180  03A10A02  02(0x02)  --------  LDR X1, [X29, #0x28]                第五个函数地址 0x5F464C + 0xffa10620 = 0x4C6C -> free_wrap
00000184  003729EF  47(0x2F)  39(0x27)  ADD X4, X23, X1                    free
00000188  07A50C28  40(0x28)  --------  ADD X5, X29, #0x70
0000018C  8200C62F  47(0x2F)  24(0x18)  ORR X25, X0, X16
00000194  07BE0C3B  59(0x3B)  --------  STR X30, [X29, #0x70]              参数1：申请内存的首地址
00000190  8320F5AF  47(0x2F)  22(0x16)  CALL X25            ;LR=X31        free 释放内存
 
00000198  13B00C02  02(0x02)  --------  LDR X16, [X29, #0x130]             恢复寄存器和函数栈
0000019C  13B10E02  02(0x02)  --------  LDR X17, [X29, #0x138]
000001A0  17B20002  02(0x02)  --------  LDR X18, [X29, #0x140]
000001A4  17B30202  02(0x02)  --------  LDR X19, [X29, #0x148]
000001A8  17B40402  02(0x02)  --------  LDR X20, [X29, #0x150]
000001AC  17B50602  02(0x02)  --------  LDR X21, [X29, #0x158]
000001B0  17B60802  02(0x02)  --------  LDR X22, [X29, #0x160]
000001B4  17B70A02  02(0x02)  --------  LDR X23, [X29, #0x168]
000001B8  17BE0C02  02(0x02)  --------  LDR X30, [X29, #0x170]
000001BC  17BF0E02  02(0x02)  --------  LDR X31, [X29, #0x178]
000001C4  1BBD0028  40(0x28)  --------  ADD X29, X29, #0x180
000001C0  03E006AF  47(0x2F)  26(0x1A)  RET         ;X31
```
这个虚拟函数的作用就是初始化 aes加密用的 key 和 iv。其中涉及到对函数 0x4BB8的调用，这个函数传入内存首地址，内存长 0x80，前 0x40是一个 sha512的值，后 0x40未初始化，以及传入了一个0x40的偏移，和一个 0x40长度。这个函数的逻辑分析完后，整个算法的逻辑也就清楚了。

```
.text:0000000000004BB8 sub_4BB8
.text:0000000000004BB8 ; __unwind {
.text:0000000000004BB8                 LDR             X9, [X0,#0x10].       X9 = 0x40
.text:0000000000004BBC                 CBZ             X9, locret_4C68
.text:0000000000004BC0                 LDP             X8, X11, [X0].        X8 = 内存首地址， X11 = 0x40
.text:0000000000004BC4                 CMP             X9, #0x20
.text:0000000000004BC8                 B.CS            loc_4BD4              相等跳转
.text:0000000000004BCC                 MOV             X10, XZR              X10 = 0
.text:0000000000004BD0                 B               loc_4C2C              跳转到这里继续
.text:0000000000004BD4 ; ---------------------------------------------------------------------------
.text:0000000000004BD4
.text:0000000000004BD4 loc_4BD4                                ; CODE XREF: sub_4BB8+10↑j
.text:0000000000004BD4                 ADRP            X13, #byte_DF40@PAGE
.text:0000000000004BD8                 ADRP            X14, #byte_DF80@PAGE
.text:0000000000004BDC                 AND             X10, X9, #0xFFFFFFFFFFFFFFE0
.text:0000000000004BE0                 ADD             X12, X8, X11
.text:0000000000004BE4                 ADD             X13, X13, #byte_DF40@PAGEOFF
.text:0000000000004BE8                 ADD             X14, X14, #byte_DF80@PAGEOFF
.text:0000000000004BEC                 ADD             X12, X12, #0x10
.text:0000000000004BF0                 ADD             X13, X13, #0x10
.text:0000000000004BF4                 ADD             X14, X14, #0x10
.text:0000000000004BF8                 MOV             X15, X10
.text:0000000000004BFC
.text:0000000000004BFC loc_4BFC                                ; CODE XREF: sub_4BB8+68↓j
.text:0000000000004BFC                 LDP             Q0, Q1, [X13,#-0x10]
.text:0000000000004C00                 LDP             Q2, Q3, [X14,#-0x10]
.text:0000000000004C04                 ADD             X13, X13, #0x20
.text:0000000000004C08                 ADD             X14, X14, #0x20
.text:0000000000004C0C                 SUBS            X15, X15, #0x20
.text:0000000000004C10                 EOR             V0.16B, V2.16B, V0.16B
.text:0000000000004C14                 EOR             V1.16B, V3.16B, V1.16B
.text:0000000000004C18                 STP             Q0, Q1, [X12,#-0x10]
.text:0000000000004C1C                 ADD             X12, X12, #0x20
.text:0000000000004C20                 B.NE            loc_4BFC
.text:0000000000004C24                 CMP             X9, X10
.text:0000000000004C28                 B.EQ            locret_4C68
.text:0000000000004C2C
.text:0000000000004C2C loc_4C2C                               
.text:0000000000004C2C                 ADRP            X12, #byte_DF80@PAGE         
.text:0000000000004C30                 ADRP            X13, #byte_DF40@PAGE
.text:0000000000004C34                 ADD             X11, X10, X11                    X11 = X10 + X11 = 0x40
.text:0000000000004C38                 ADD             X12, X12, #byte_DF80@PAGEOFF.    X12 = 0xDF80
.text:0000000000004C3C                 ADD             X13, X13, #byte_DF40@PAGEOFF.    X13 = 0xDF40
.text:0000000000004C40                 SUB             X9, X9, X10                      X9 = X9 - X10 = X9 = 0x40
.text:0000000000004C44                 ADD             X8, X8, X11                      X8 = X8 + X11 = 首地址 + 0x40
.text:0000000000004C48                 ADD             X11, X12, X10                    X11 = X12 + X10 = X12
.text:0000000000004C4C                 ADD             X10, X13, X10                    X10 = X13 + X10 = X13
.text:0000000000004C50
.text:0000000000004C50 loc_4C50                                ; CODE XREF: sub_4BB8+AC↓j
.text:0000000000004C50                 LDRB            W12, [X10],#1.   从 X10 取一个字节到 W12， 执行后 X10 = X10 + 1
.text:0000000000004C54                 LDRB            W13, [X11],#1.   从 X11 取一个字节到 W13， 执行后 X11 = X11 + 1
.text:0000000000004C58                 SUBS            X9, X9, #1       长度每次减 1，循环执行 40 次
.text:0000000000004C5C                 EOR             W12, W13, W12.   异或运算
.text:0000000000004C60                 STRB            W12, [X8],#1     保存 W12 到 X8地址，更新一个字节，执行后 X8 = X8 + 1
.text:0000000000004C64                 B.NE            loc_4C50         跳转到 4C50，也就是循环，循环 40 次
.text:0000000000004C68
.text:0000000000004C68 locret_4C68                             ; CODE XREF: sub_4BB8+4↑j
.text:0000000000004C68                                         ; sub_4BB8+70↑j
.text:0000000000004C68                 RET
```

上面代码的逻辑其实很简单，从 0xDF80 取二进制数据，从 0xDF40 取二进制数据，循环 40 次，每次取一个字节，异或运算后保存到了传入内存地址的后 40 字节里。

0xDF80定义如下：
 ![图片描述](upload/attach/202503/770147_9PD2JYVQ39ENXKT.webp)

```
key1 =  [0x1F, 0xDD, 0xA8, 0x33, 0x88, 0x07, 0xC7, 0x31, 0xB1, 0x12, 0x10, 0x59, 0x27, 0x80, 0xEC, 0x5F,
         0x60, 0x51, 0x7F, 0xA9, 0x19, 0xB5, 0x4A, 0x0D, 0x2D, 0xE5, 0x7A, 0x9F, 0x93, 0xC9, 0x9C, 0xEF,
         0xA0, 0xE0, 0x3B, 0x4D, 0xAE, 0x2A, 0xF5, 0xB0, 0xC8, 0xEB, 0xBB, 0x3C, 0x83, 0x53, 0x99, 0x61,
         0x17, 0x2B, 0x04, 0x7E, 0xBA, 0x77, 0xD6, 0x26, 0xE1, 0x69, 0x14, 0x63, 0x55, 0x21, 0x0C, 0x7D]
```

0xDF40定义如下
 ![图片描述](upload/attach/202503/770147_NVHWT6W87M4NRR7.webp)

```
key2 =  [0x52, 0x09, 0x6A, 0xD5, 0x30, 0x36, 0xA5, 0x38, 0xBF, 0x40, 0xA3, 0x9E, 0x81, 0xF3, 0xD7, 0xFB,
         0x7C, 0xE3, 0x39, 0x82, 0x9B, 0x2F, 0xFF, 0x87, 0x34, 0x8E, 0x43, 0x44, 0xC4, 0xDE, 0xE9, 0xCB,
         0x54, 0x7B, 0x94, 0x32, 0xA6, 0xC2, 0x23, 0x3D, 0xEE, 0x4C, 0x95, 0x0B, 0x42, 0xFA, 0xC3, 0x4E,
         0x08, 0x2E, 0xA1, 0x66, 0x28, 0xD9, 0x24, 0xB2, 0x76, 0x5B, 0xA2, 0x49, 0x6D, 0x8B, 0xD1, 0x25]
```
# 算法还原

```
import os
import hashlib
from Crypto.Cipher import AES
from Crypto.Util.Padding import pad, unpad
 
 
def get_hash_key():
 
    key1 = [0x1F, 0xDD, 0xA8, 0x33, 0x88, 0x07, 0xC7, 0x31, 0xB1, 0x12, 0x10, 0x59, 0x27, 0x80, 0xEC, 0x5F,
            0x60, 0x51, 0x7F, 0xA9, 0x19, 0xB5, 0x4A, 0x0D, 0x2D, 0xE5, 0x7A, 0x9F, 0x93, 0xC9, 0x9C, 0xEF,
            0xA0, 0xE0, 0x3B, 0x4D, 0xAE, 0x2A, 0xF5, 0xB0, 0xC8, 0xEB, 0xBB, 0x3C, 0x83, 0x53, 0x99, 0x61,
            0x17, 0x2B, 0x04, 0x7E, 0xBA, 0x77, 0xD6, 0x26, 0xE1, 0x69, 0x14, 0x63, 0x55, 0x21, 0x0C, 0x7D]
 
    key2 = [0x52, 0x09, 0x6A, 0xD5, 0x30, 0x36, 0xA5, 0x38, 0xBF, 0x40, 0xA3, 0x9E, 0x81, 0xF3, 0xD7, 0xFB,
            0x7C, 0xE3, 0x39, 0x82, 0x9B, 0x2F, 0xFF, 0x87, 0x34, 0x8E, 0x43, 0x44, 0xC4, 0xDE, 0xE9, 0xCB,
            0x54, 0x7B, 0x94, 0x32, 0xA6, 0xC2, 0x23, 0x3D, 0xEE, 0x4C, 0x95, 0x0B, 0x42, 0xFA, 0xC3, 0x4E,
            0x08, 0x2E, 0xA1, 0x66, 0x28, 0xD9, 0x24, 0xB2, 0x76, 0x5B, 0xA2, 0x49, 0x6D, 0x8B, 0xD1, 0x25]
 
    hash_key = bytes()
 
    for i in range(len(key1)):
        hash_key += (key1[i] ^ key2[i]).to_bytes(1,'little')
    return hash_key
 
 
def sha512(data):
    sha512_data = hashlib.sha512()
    sha512_data.update(data)
    return sha512_data.digest()
 
 
#内层虚拟机函数获取 key 和 iv,传入随机数，返回 key 和 iv
def get_aes_key_and_iv(random_data):
 
    random_data_sha512 = sha512(random_data) # 随机数计算 sha512
 
    hash_key = get_hash_key() # 异或运算计算的 key,长度为 0x40
 
    data = random_data_sha512 + hash_key # 长度一共0x80
 
    key_iv_hash = sha512(data) # 一块计算 sha512
 
    return key_iv_hash[0:16], key_iv_hash[16:32]
 
 
def aes_encrypt(data, key, iv):
 
    cipher = AES.new(key, AES.MODE_CBC, iv)
 
    padded_data = pad(data, AES.block_size)
    encrypted = cipher.encrypt(padded_data)
    return encrypted
 
 
def tt_encrypt(data):
 
    magic = b"\x74\x63\x05\x10\x00\x00"
 
    random_bytes = os.urandom(32)
 
    aes_key, aes_iv = get_aes_key_and_iv(random_bytes)
 
    data_sha512 = sha512(data)
 
    raw_data = data_sha512 + data
 
    aes_data = aes_encrypt(raw_data, aes_key, aes_iv)
 
    return magic + random_bytes + aes_data
 
 
if __name__ == "__main__":
 
    test_data = b"hello!!!"
    print(tt_encrypt(test_data))
```

vm 加密过程中只是调用外部函数完成加密，并没有在虚拟机中做每个字节的数据加密处理，因此不用完全还原虚拟机也可以调试出算法内容。但是这个虚拟机只是一个基础，tt 系列的参数签名算法中，在虚拟机环境做了更复杂的加密处理，并且指令的编码方式也更复杂。有了这个基础后，再分析tt 系列的其它加密算法就水到渠成了。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-6-6 11:28 被CCTV果冻爽编辑，原因：

#调试逆向 #VM保护 #加密算法

收藏・62

点赞・217

打赏

赞赏记录

参与人

雪币

留言

时间

the_hs

感谢你分享这么好的资源！

6天前

1n1t

谢谢你的细致分析，受益匪浅！

2026-9-14 15:29

铭信

你的帖子非常有用，感谢分享！

2026-9-7 21:55

mb_lthgjpwj

为你点赞！

2026-8-21 09:23

wx_韩王

为你点赞！

2026-8-18 10:57

mb_cebxltxx

为你点赞！

2026-8-16 10:05

x500x

你的分享对大家帮助很大，非常感谢！

2026-8-15 10:16

mb_wsoacceo

为你点赞！

2026-8-11 01:22

鼻屎怪

感谢你的贡献，论坛因你而更加精彩！

2026-8-5 13:30

nuomida

谢谢你的细致分析，受益匪浅！

2026-7-30 17:05

Red

你的分享对大家帮助很大，非常感谢！

2026-7-21 14:42

yuanyouran

这个讨论对我很有帮助，谢谢！

2026-7-19 09:21

wx_晨梦

这个讨论对我很有帮助，谢谢！

2026-7-16 05:23

智童

你的帖子非常有用，感谢分享！

2026-6-30 23:43

git_29219delmarocks

你的分享对大家帮助很大，非常感谢！

2026-6-19 00:25

梧桐生

为你点赞！

2026-6-18 18:07

BeanSpy

期待更多优质内容的分享，论坛有你更精彩！

2026-6-10 14:26

教教我吧~

为你点赞！

2026-6-2 09:06

git_77201BartoszTrading

为你点赞！

2026-6-2 00:56

北门观雪

谢谢你的细致分析，受益匪浅！

2026-5-31 05:14

wx_~peace~

非常支持你的观点！

2026-5-27 11:41

手把手教我吗

这个讨论对我很有帮助，谢谢！

2026-5-23 20:07

wjdidi

这个讨论对我很有帮助，谢谢！

2026-5-7 19:55

npc0vo

感谢你分享这么好的资源！

2026-4-25 21:57

mb_vvjtepxu

谢谢你的细致分析，受益匪浅！

2026-4-24 09:48

龙哥在不在

感谢你的贡献，论坛因你而更加精彩！

2026-4-21 15:19

s1nec-1o

谢谢你的细致分析，受益匪浅！

2026-4-16 15:01

robinhust

谢谢你的细致分析，受益匪浅！

2026-4-12 01:15

vox

非常支持你的观点！

2026-4-9 09:31

Nermor

这个讨论对我很有帮助，谢谢！

2026-3-27 02:37

git_29853Sandyeeee

谢谢你的细致分析，受益匪浅！

2026-3-25 02:49

mb_etkiamtw

谢谢你的细致分析，受益匪浅！

2026-3-22 22:31

mb_knnwnenq

谢谢你的细致分析，受益匪浅！

2026-3-13 18:45

mb_npylpnpl

你的分享对大家帮助很大，非常感谢！

2026-2-3 16:29

mb_webigsdj

感谢你的贡献，论坛因你而更加精彩！

2026-2-1 21:58

mb_eyvptqam

为你点赞！

2026-2-1 04:48

classis

感谢你的贡献，论坛因你而更加精彩！

2026-1-28 14:11

小明的爱

这个讨论对我很有帮助，谢谢！

2026-1-23 11:05

fancy繁星

这个讨论对我很有帮助，谢谢！

2026-1-21 20:44

zzzhangyu

你的帖子非常有用，感谢分享！

2026-1-14 21:14

linix

为你点赞！

2026-1-12 21:29

riven_

感谢你的贡献，论坛因你而更加精彩！

2026-1-9 13:17

Emtanling

为你点赞！

2026-1-7 10:36

mb_nofqtpir

感谢你的积极参与，期待更多精彩内容！

2026-1-7 09:50

魂焱

谢谢你的细致分析，受益匪浅！

2025-12-30 03:42

imcczy

期待更多优质内容的分享，论坛有你更精彩！

2025-12-29 19:11

gladly

感谢你的贡献，论坛因你而更加精彩！

2025-12-23 17:35

mb_hvqxihom

期待更多优质内容的分享，论坛有你更精彩！

2025-12-17 21:14

dob_C

为你点赞！

2025-12-16 10:55

陈留

期待更多优质内容的分享，论坛有你更精彩！

2025-12-16 08:42

CuteHacker

感谢你的贡献，论坛因你而更加精彩！

2025-12-11 10:47

路过1

为你点赞！

2025-12-9 16:33

iCookiie

为你点赞！

2025-12-3 17:50

优质胖虎

这个讨论对我很有帮助，谢谢！

2025-11-28 14:57

Aar0n

为你点赞！

2025-11-21 21:44

wx_yodfailn

非常支持你的观点！

2025-11-21 15:44

nxlite

非常支持你的观点！

2025-11-18 22:58

xuanzee

谢谢你的细致分析，受益匪浅！

2025-11-16 02:34

xianyuuuan

你的帖子非常有用，感谢分享！

2025-11-13 21:46

clz3216

期待更多优质内容的分享，论坛有你更精彩！

2025-11-12 12:18

git_14900allehandro691

这个讨论对我很有帮助，谢谢！

2025-11-8 07:30

mb_haaygihg

谢谢你的细致分析，受益匪浅！

2025-11-6 00:28

橘子皮儿

为你点赞！

2025-10-27 19:36

ReGenesis

你的帖子非常有用，感谢分享！

2025-10-26 17:35

LIU.YZ

为你点赞！

2025-10-24 18:27

逆向小玖

这个讨论对我很有帮助，谢谢！

2025-10-20 09:32

she.

谢谢你的细致分析，受益匪浅！

2025-10-18 14:32

didiid

期待更多优质内容的分享，论坛有你更精彩！

2025-9-28 16:52

mb_euhyowpw

这个讨论对我很有帮助，谢谢！

2025-9-26 16:14

wx_辉。

你的分享对大家帮助很大，非常感谢！

2025-9-22 15:32

HandsomeBro

感谢你分享这么好的资源！

2025-9-15 16:01

乐子人

你的帖子非常有用，感谢分享！

2025-9-12 21:09

老小白

为你点赞！

2025-9-8 20:33

jjjo

期待更多优质内容的分享，论坛有你更精彩！

2025-9-5 19:21

秋刀鱼14137

为你点赞！

2025-9-2 15:17

废人one

感谢你的积极参与，期待更多精彩内容！

2025-8-30 17:30

mb_okgzjrgl

期待更多优质内容的分享，论坛有你更精彩！

2025-8-28 18:04

黑龙lilad

你的分享对大家帮助很大，非常感谢！

2025-8-28 17:14

oilm4n

谢谢你的细致分析，受益匪浅！

2025-8-27 14:21

mb_icmvseaa

非常支持你的观点！

2025-8-25 17:28

er胡

你的帖子非常有用，感谢分享！

2025-8-24 11:34

git_95459jdxhu

感谢你的积极参与，期待更多精彩内容！

2025-8-24 07:33

sinker_

你的分享对大家帮助很大，非常感谢！

2025-8-22 23:11

fu11p7r

你的帖子非常有用，感谢分享！

2025-8-21 23:09

Liv_T

感谢你分享这么好的资源！

2025-8-21 23:06

九天666

这个讨论对我很有帮助，谢谢！

2025-8-21 18:29

Ro0kie

为你点赞！

2025-8-21 16:07

mb_qpjxwaqf

这个讨论对我很有帮助，谢谢！

2025-8-15 02:08

婷婷妈咪

这个讨论对我很有帮助，谢谢！

2025-8-14 04:19

blue_sky

感谢你分享这么好的资源！

2025-8-12 11:53

git_86217HasibulKobir

期待更多优质内容的分享，论坛有你更精彩！

2025-8-10 13:42

Bonnie-Ran

谢谢你的细致分析，受益匪浅！

2025-8-3 00:06

mb_wxhvkzib

你的分享对大家帮助很大，非常感谢！

2025-7-31 07:44

深山樵夫

感谢你的积极参与，期待更多精彩内容！

2025-7-30 10:39

startion

这个讨论对我很有帮助，谢谢！

2025-7-27 10:30

iamshy

这个讨论对我很有帮助，谢谢！

2025-7-24 16:51

git_57278hiJackSmith

你的分享对大家帮助很大，非常感谢！

2025-7-18 23:08

ChuXinﻬ.

谢谢你的细致分析，受益匪浅！

2025-7-18 14:00

mb_uikdudgo

为你点赞！

2025-7-18 03:26

mb_vdaqkotg

谢谢你的细致分析，受益匪浅！

2025-7-15 18:38

零~

为你点赞！

2025-7-14 18:14

Je2em1ah

感谢你分享这么好的资源！

2025-7-14 18:09

Meet8

你的分享对大家帮助很大，非常感谢！

2025-7-11 10:43

FANGG3

谢谢你的细致分析，受益匪浅！

2025-7-8 16:22

linkin5epk

你的分享对大家帮助很大，非常感谢！

2025-7-4 17:44

git_86861charleywright

这个讨论对我很有帮助，谢谢！

2025-7-4 09:49

mldhhhh

为你点赞！

2025-7-3 11:06

L0x1c

你的帖子非常有用，感谢分享！

2025-7-3 10:53

zengxianxi

感谢你的积极参与，期待更多精彩内容！

2025-7-3 10:20

mb_axnyspcg

这个讨论对我很有帮助，谢谢！

2025-6-30 17:46

mb_okzjrrpb

你的帖子非常有用，感谢分享！

2025-6-29 06:20

三草儿

感谢你分享这么好的资源！

2025-6-26 22:44

loyieking

这个讨论对我很有帮助，谢谢！

2025-6-25 15:18

wx_啦啦啦~

非常支持你的观点！

2025-6-22 20:53

doduhuang

这个讨论对我很有帮助，谢谢！

2025-6-22 11:18

mb_dmmgrgze

谢谢你的细致分析，受益匪浅！

2025-6-22 00:46

mb_nvewpixx

非常支持你的观点！

2025-6-20 20:09

mb_hwynyvpk

非常支持你的观点！

2025-6-20 09:28

void *

感谢你的积极参与，期待更多精彩内容！

2025-6-18 14:13

ctf_009

感谢你分享这么好的资源！

2025-6-17 09:01

git_27476juddynake

期待更多优质内容的分享，论坛有你更精彩！

2025-6-16 21:24

lqfcugo

感谢你的积极参与，期待更多精彩内容！

2025-6-13 17:11

xjohjrdy

谢谢你的细致分析，受益匪浅！

2025-6-12 22:01

noobbb

期待更多优质内容的分享，论坛有你更精彩！

2025-6-12 22:01

逆向狗都不学

这个讨论对我很有帮助，谢谢！

2025-6-10 18:51

sk97

谢谢你的细致分析，受益匪浅！

2025-6-10 13:56

huaerxiela

非常支持你的观点！

2025-6-10 12:22

Lebeau

期待更多优质内容的分享，论坛有你更精彩！

2025-6-10 12:05

Forgo7ten

感谢你的积极参与，期待更多精彩内容！

2025-6-10 11:18

AZmoll

感谢你的贡献，论坛因你而更加精彩！

2025-6-10 11:08

wx_突突兔

感谢你的贡献，论坛因你而更加精彩！

2025-6-10 00:21

MacLehose

非常支持你的观点！

2025-6-8 07:34

混

谢谢你的细致分析，受益匪浅！

2025-6-6 20:37

coder777

感谢你的积极参与，期待更多精彩内容！

2025-6-6 17:12

ztxbeyond

为你点赞！

2025-6-6 12:59

mb_osuxginm

为你点赞！

2025-6-6 12:56

带壳的蜗牛

感谢你的贡献，论坛因你而更加精彩！

2025-6-5 19:06

juice4fun

为你点赞！

2025-6-4 15:14

coreofthesun

感谢你的积极参与，期待更多精彩内容！

2025-6-4 12:03

mb_oowzftna

谢谢你的细致分析，受益匪浅！

2025-6-3 21:49

得码西亚

谢谢你的细致分析，受益匪浅！

2025-6-2 21:42

sossai

这个讨论对我很有帮助，谢谢！

2025-6-1 10:36

季东

你的帖子非常有用，感谢分享！

2025-5-31 13:53

mb_dtcxfgwm

非常支持你的观点！

2025-5-30 11:31

烟花易冷丶

为你点赞！

2025-5-29 13:17

张三张

谢谢你的细致分析，受益匪浅！

2025-5-28 11:33

alienhe

为你点赞！

2025-5-23 10:46

蜕无痕

这个讨论对我很有帮助，谢谢！

2025-5-22 15:08

mb_aasuwsvp

这个讨论对我很有帮助，谢谢！

2025-5-13 17:27

红绡枫叶

感谢你的贡献，论坛因你而更加精彩！

2025-5-10 11:54

git_21210wzzzh2025

你的分享对大家帮助很大，非常感谢！

2025-5-1 15:13

Qira

这个讨论对我很有帮助，谢谢！

2025-5-1 11:35

git_340861540935409

感谢你分享这么好的资源！

2025-4-30 17:25

pyth0nDev

这个讨论对我很有帮助，谢谢！

2025-4-30 00:31

mb_cqemmwoj

感谢你的积极参与，期待更多精彩内容！

2025-4-28 20:44

mb_jnyfkzhk

感谢你分享这么好的资源！

2025-4-28 18:53

利叶增辉

非常支持你的观点！

2025-4-27 09:47

mb_wpitiize

谢谢你的细致分析，受益匪浅！

2025-4-24 17:18

conlin

为你点赞！

2025-4-23 18:10

墨儒蛮君

为你点赞！

2025-4-23 12:16

eeeeelukou

为你点赞！

2025-4-22 22:05

.time

感谢你分享这么好的资源！

2025-4-21 11:21

Gift1a

感谢你分享这么好的资源！

2025-4-20 08:20

哈哥

为你点赞！

2025-4-15 01:56

道友请留步

这个讨论对我很有帮助，谢谢！

2025-4-14 15:21

wanttobeno

这个讨论对我很有帮助，谢谢！

2025-4-11 14:00

null0bj

为你点赞！

2025-4-11 09:55

孤独的街

感谢你分享这么好的资源！

2025-4-10 13:53

风铃i

为你点赞！

2025-4-10 12:50

zhengcai

感谢你的积极参与，期待更多精彩内容！

2025-4-10 10:41

hswizy

你的帖子非常有用，感谢分享！

2025-4-9 18:32

软件君子

这个讨论对我很有帮助，谢谢！

2025-4-9 17:48

mb_jwvcvtfi

感谢你分享这么好的资源！

2025-4-8 16:01

mb_ygbywaup

期待更多优质内容的分享，论坛有你更精彩！

2025-4-8 11:52

ldljlzw

为你点赞！

2025-4-8 11:24

2beNo2

感谢你分享这么好的资源！

2025-4-8 11:22

mb_posiqsug

这个讨论对我很有帮助，谢谢！

2025-4-8 10:26

mb_bogoqnvg

感谢你分享这么好的资源！

2025-4-7 13:59

wx_ㅤ_683

期待更多优质内容的分享，论坛有你更精彩！

2025-4-7 11:01

陈可牛

你的分享对大家帮助很大，非常感谢！

2025-4-7 10:43

git_99394jiangyei

非常支持你的观点！

2025-4-7 10:23

0x指纹

你的帖子非常有用，感谢分享！

2025-4-7 10:03

P_Hac

为你点赞！

2025-4-7 09:58

qqizai

期待更多优质内容的分享，论坛有你更精彩！

2025-4-7 09:26

leiusurely

你的分享对大家帮助很大，非常感谢！

2025-4-7 07:30

loveqiao

感谢你分享这么好的资源！

2025-4-6 19:15

mb_hhiypuwp

非常支持你的观点！

2025-4-6 18:34

天水姜伯约

感谢你分享这么好的资源！

2025-4-6 18:15

沈聽白

感谢你的积极参与，期待更多精彩内容！

2025-4-6 15:11

百事可乐就好

你的帖子非常有用，感谢分享！

2025-4-6 13:08

yuzhouheike

感谢你分享这么好的资源！

2025-4-5 20:45

海带

你的帖子非常有用，感谢分享！

2025-4-5 18:42

mb_rjdrqvpa

感谢你的积极参与，期待更多精彩内容！

2025-4-3 14:30

wx_byte

你的帖子非常有用，感谢分享！

2025-4-3 11:09

小秃秃驴

谢谢你的细致分析，受益匪浅！

2025-4-3 09:59

crackwiki

为你点赞！

2025-4-2 21:26

我是小三

你的分享对大家帮助很大，非常感谢！

2025-4-2 19:01

养只猫不好么

谢谢你的细致分析，受益匪浅！

2025-4-1 15:11

陈某人

为你点赞！

2025-4-1 15:04

New对象处

感谢你的贡献，论坛因你而更加精彩！

2025-4-1 14:31

mb_fzcenzlx

你的分享对大家帮助很大，非常感谢！

2025-4-1 11:18

mb_tzwqsbxd

为你点赞！

2025-4-1 11:04

wx_funcrever

你的帖子非常有用，感谢分享！

2025-4-1 10:57

Mezone0

感谢你分享这么好的资源！

2025-4-1 10:54

杨如画

你的帖子非常有用，感谢分享！

2025-4-1 09:56

.KK

感谢你的积极参与，期待更多精彩内容！

2025-4-1 09:54

huangyalei

感谢你分享这么好的资源！

2025-3-31 22:50

mb_asiwnxyv

感谢你的积极参与，期待更多精彩内容！

2025-3-31 18:32

顽劣

你的分享对大家帮助很大，非常感谢！

2025-3-31 17:59

mb_iesvmzqc

感谢你分享这么好的资源！

2025-3-31 14:47

熊趴趴来

感谢你的积极参与，期待更多精彩内容！

2025-3-31 14:22

令狐双

这个讨论对我很有帮助，谢谢！

2025-3-31 13:37

快乐的小跳蛙

你的分享对大家帮助很大，非常感谢！

2025-3-31 13:09

东方玻璃

你的帖子非常有用，感谢分享！

2025-3-31 13:00

mb_ldbucrik

谢谢你的细致分析，受益匪浅！

2025-3-31 12:56

kkte

请注意发帖规范，保持良好的讨论环境！

2025-3-31 12:55

岁月。

非常支持你的观点！

2025-3-31 11:53

最新回复 (179) 1 2 3 4 5 6 7 8 ▶
kkte 雪币： 309 活跃值： (1361) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 3 关注私信	kkte 2 楼支持ing 2025-3-31 13:16 0
mykobi 雪币： 149 活跃值： (719) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mykobi 3 楼谢谢分享！ 2025-3-31 13:42 0
墨穹呢雪币： 4706 活跃值： (8127) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 224 粉丝 18 关注私信	墨穹呢 4 楼感谢分享 2025-3-31 13:45 0
ONewTach 雪币： 242 活跃值： (5585) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 80 粉丝 0 关注私信	ONewTach 5 楼 666 2025-3-31 15:21 0
method 雪币： 1920 活跃值： (8073) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 262 粉丝 134 关注私信	method 1 6 楼 1 2025-4-1 09:15 0
mb_gwmvlfzq 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_gwmvlfzq 7 楼 1 2025-4-1 09:18 0
superdos 雪币： 2357 活跃值： (2941) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 79 粉丝 2 关注私信	superdos 8 楼辛苦。。。。。。。。。。。。 2025-4-1 09:28 0
hacker521 雪币： 3017 活跃值： (5736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 9 楼这个讲的真的好全面 2025-4-1 10:16 0
st0ne 雪币： 2130 活跃值： (4683) 能力值： ( LV6，RANK：80 ) 在线值：发帖 5 回帖 68 粉丝 132 关注私信	st0ne 1 10 楼 666 2025-4-1 14:26 0
wave_sky 雪币： 18 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wave_sky 11 楼 good 2025-4-1 14:48 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 253 粉丝 0 关注私信	mb_cbgtaveo 12 楼 6666666 2025-4-1 16:05 0
Imxz 雪币： 112 活跃值： (9420) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 752 粉丝 9 关注私信	Imxz 13 楼 666 2025-4-2 17:54 0
bluegatar 雪币： 5 活跃值： (5784) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 238 粉丝 6 关注私信	bluegatar 14 楼真的是详细版 2025-4-2 23:21 0
Ram98 雪币： 282 活跃值： (1641) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 1 关注私信	Ram98 15 楼 666 2025-4-3 10:14 0
jiyuren 雪币： 2760 活跃值： (3381) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 22 粉丝 3 关注私信	jiyuren 16 楼你的分享对大家帮助很大，非常感谢！ 2025-4-3 10:18 0
梦馗色撩i 雪币： 37 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 5 粉丝 0 关注私信	梦馗色撩i 17 楼 666 2025-4-4 00:59 0
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 18 楼 6666 2025-4-4 16:20 0
mb_hfpmtthz 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	mb_hfpmtthz 19 楼 6666 2025-4-5 15:24 0
wx_插曲雪币： 411 活跃值： (871) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 317 粉丝 24 关注私信	wx_插曲 20 楼 6 2025-4-5 19:09 0
PPTV 雪币： 11423 活跃值： (4532) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 214 粉丝 0 关注私信	PPTV 21 楼 ttEncrypt 2025-4-5 19:47 0
mb_yubqcabm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	mb_yubqcabm 22 楼 2025-4-6 15:53 0
zhczf 雪币： 13989 活跃值： (20995) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 431 粉丝 1 关注私信	zhczf 23 楼本文只是公开分析过程 2025-4-6 16:34 0
jpacg 雪币： 127 活跃值： (4785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 72 粉丝 5 关注私信	jpacg 24 楼 66 2025-4-6 21:01 0
小太子奶雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	小太子奶 25 楼 6666 2025-4-7 20:44 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

CCTV果冻爽

发帖

回帖

220

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (179) 1 2 3 4 5 6 7 8 ▶
kkte 雪币： 309 活跃值： (1361) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 3 关注私信	kkte 2 楼支持ing 2025-3-31 13:16 0
mykobi 雪币： 149 活跃值： (719) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mykobi 3 楼谢谢分享！ 2025-3-31 13:42 0
墨穹呢雪币： 4706 活跃值： (8127) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 224 粉丝 18 关注私信	墨穹呢 4 楼感谢分享 2025-3-31 13:45 0
ONewTach 雪币： 242 活跃值： (5585) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 80 粉丝 0 关注私信	ONewTach 5 楼 666 2025-3-31 15:21 0
method 雪币： 1920 活跃值： (8073) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 262 粉丝 134 关注私信	method 1 6 楼 1 2025-4-1 09:15 0
mb_gwmvlfzq 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_gwmvlfzq 7 楼 1 2025-4-1 09:18 0
superdos 雪币： 2357 活跃值： (2941) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 79 粉丝 2 关注私信	superdos 8 楼辛苦。。。。。。。。。。。。 2025-4-1 09:28 0
hacker521 雪币： 3017 活跃值： (5736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 9 楼这个讲的真的好全面 2025-4-1 10:16 0
st0ne 雪币： 2130 活跃值： (4683) 能力值： ( LV6，RANK：80 ) 在线值：发帖 5 回帖 68 粉丝 132 关注私信	st0ne 1 10 楼 666 2025-4-1 14:26 0
wave_sky 雪币： 18 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wave_sky 11 楼 good 2025-4-1 14:48 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 253 粉丝 0 关注私信	mb_cbgtaveo 12 楼 6666666 2025-4-1 16:05 0
Imxz 雪币： 112 活跃值： (9420) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 752 粉丝 9 关注私信	Imxz 13 楼 666 2025-4-2 17:54 0
bluegatar 雪币： 5 活跃值： (5784) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 238 粉丝 6 关注私信	bluegatar 14 楼真的是详细版 2025-4-2 23:21 0
Ram98 雪币： 282 活跃值： (1641) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 1 关注私信	Ram98 15 楼 666 2025-4-3 10:14 0
jiyuren 雪币： 2760 活跃值： (3381) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 22 粉丝 3 关注私信	jiyuren 16 楼你的分享对大家帮助很大，非常感谢！ 2025-4-3 10:18 0
梦馗色撩i 雪币： 37 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 5 粉丝 0 关注私信	梦馗色撩i 17 楼 666 2025-4-4 00:59 0
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 18 楼 6666 2025-4-4 16:20 0
mb_hfpmtthz 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	mb_hfpmtthz 19 楼 6666 2025-4-5 15:24 0
wx_插曲雪币： 411 活跃值： (871) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 317 粉丝 24 关注私信	wx_插曲 20 楼 6 2025-4-5 19:09 0
PPTV 雪币： 11423 活跃值： (4532) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 214 粉丝 0 关注私信	PPTV 21 楼 ttEncrypt 2025-4-5 19:47 0
mb_yubqcabm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	mb_yubqcabm 22 楼 2025-4-6 15:53 0
zhczf 雪币： 13989 活跃值： (20995) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 431 粉丝 1 关注私信	zhczf 23 楼本文只是公开分析过程 2025-4-6 16:34 0
jpacg 雪币： 127 活跃值： (4785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 72 粉丝 5 关注私信	jpacg 24 楼 66 2025-4-6 21:01 0
小太子奶雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	小太子奶 25 楼 6666 2025-4-7 20:44 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复