VMProtect是一種很可靠的工具，可以保護應用程序代碼免受分析和破解，但只有在應用程序內保護機制正確構建且沒有可能破壞整個保護的嚴重錯誤的情況下，才能實現最好的效果。
VMProtect通過在具有非標準體系結構的虛擬機上執行代碼來保護代碼，這將使分析和破解軟件變得十分困難。除此之外，VMProtect還可以生成和驗證序列號，限制免費升級等等。
下載VMProtect最新試用版
VMProtect正版授權在線訂購享受最低價，僅售801元起！還不趕緊加入你的訂購清單？>>更多詳情可點擊咨詢購買
相關鏈接：
代碼保護軟件VMP逆向分析虛擬機指令：初步認識與環境搭建
代碼保護軟件VMP逆向分析虛擬機指令：VMP代碼的提取
三、詳細分析
我們先分析一下頭和尾，那我們怎么知道哪里才是一個VM指令的開始和結束呢？記得jmp reg 和 push + ret 沒，我們就由這兩個去確定一個VM指令的范圍
VM_Entry
----------------------------------------------------------------
0044A580 Main PUSH 83819110 ; Key 你可以看做一個密文經過解密 壓棧1 Key
0044A585 Main CALL vmptest_.0042FA52 ; Key 經過解密后就是bytescode 壓找2 壓返回地址
0042FA52 Main PUSH EDX ; 壓棧3 EDX
0042FA53 Main JMP vmptest_.0042BF92
0042BF92 Main PUSHFD ; 壓棧4 eflags符號寄存器
0042BF93 Main TEST CX,SI
0042BF96 Main CMC
0042BF97 Main PUSH ECX ; 壓棧5 ECX
0042BF98 Main SHLD CX,SI,0BA
0042BF9D Main ADD CL,97 ; ECX=00000097
0042BFA0 Main PUSH EBX ; 壓棧6 EBX
0042BFA1 Main MOV CL,DL ; ECX=00000008
0042BFA3 Main SHR EBX,CL ; EBX=007FFDF0
0042BFA5 Main PUSH EBP ; 壓棧7 EBP
0042BFA6 Main PUSH ESI ; 壓棧8 ESI
0042BFA7 Main PUSH EAX ; 壓棧9 EAX
0042BFA8 Main PUSH EDI ; 壓棧10 EDI
0042BFA9 Main ADD ECX,173475C8 ; ECX=173475D0
0042BFAF Main MOV EAX,0
0042BFB4 Main XOR ESI,239C226E ; ESI=239C226E
0042BFBA Main PUSH EAX ; 壓棧11 0x00000000
0042BFBB Main SETLE BH ; EBX=007F00F0
0042BFBE Main MOV ESI,DWORD PTR SS:[ESP+28] ; ESI=83819110 取ESP+0x28地址的值 0x28/4= 10 往上數第10個
0042BFC2 Main LEA ESI,DWORD PTR DS:[ESI+D093E2F1] ; ESI=54157401 從0開始數 你看看是不是取到了Key的值 注意
0042BFC8 Main NEG ESI ; ESI=ABEA8BFF 注意這個 [ESP + 0x28]這個特征 現在賦值給ESI
0042BFCA Main BTS BP,BX ; EBP=0012FF95
0042BFCE Main JMP vmptest_.00430A03
00430A03 Main ROR ESI,1 ; ESI=D5F545FF
00430A05 Main INC ESI ; ESI=D5F54600
00430A06 Main ADD EBP,64941F8C ; EBP=64A71F21
00430A0C Main ADC CX,SP ; ECX=17347530
00430A0F Main BTR EDI,73
00430A13 Main BSWAP ESI ; ESI=0046F5D5
00430A15 Main CMOVPE EBX,ESI ; EBX=0046F5D5
00430A18 Main BTC BP,8C ; EBP=64A70F21
00430A1D Main ADD ESI,EAX
00430A1F Main MOV EBP,ESP ; EBP=0012FF60 ;注意這里EBP的賦值 記住這里現在ebp是上面壓的棧頂
00430A21 Main SUB ESP,0C0 ; 和這里esp的開棧 其實這里是給vm_context開空間
00430A27 Main MOV EBX,ESI ;和給vm_ss開空間
00430A29 Main MOV ECX,0 ; ECX=00000000 ;注意這里有個mov ebx,esi 解密因子 我接下來就不
00430A2E Main OR EDI,EBP ; EDI=0012FF60 ;會去多提他 如果你要運行程序你就要注意他 這個解密因子 往上看是不是Key解密而來的
00430A30 Main SUB EBX,ECX ;分析好幾個vm 分析ebx一直指向這個vm_decryptfactor
00430A32 Main ROL CX,CL ;我不知道這樣叫他對不對 不過這不是重點
00430A35 Main LEA EDI,DWORD PTR DS:[430A35] ; EDI=00430A35 ;知道他是干什么的就可以了
00430A3B Main SUB CX,SI ; ECX=00000A2B ;看到這里的LEA 本身這個指令上一個地址 沒錯他就是vm_JumpBase 相對誰去跳到下一個地址 肯定是當前
00430A3E Main OR CL,0D5 ; ECX=00000AFF
00430A41 Main ROL CX,23 ; ECX=000057F8
00430A45 Main MOV ECX,DWORD PTR DS:[ESI] ; ECX=B0D37F60 ;到這里 經過解密之后ESI才是真正的vm_bytescode
00430A47 Main ADD ESI,4 ; ESI=0046F5D9 ;你或者叫他(ESI)為跳轉間隔 好像也沒什么錯
00430A4D Main TEST EDI,EBX ; 取值后 ESI +=4 往后移
00430A4F Main XOR ECX,EBX ; ECX=B0958AB5
00430A51 Main JMP vmptest_.00439FEC
00439FEC Main LEA ECX,DWORD PTR DS:[ECX+DEFE95D9] ; ECX=8F94208E
00439FF2 Main CMP AX,25AD
00439FF6 Main TEST BH,90
00439FF9 Main NOT ECX ; ECX=706BDF71
00439FFB Main TEST AL,DL
00439FFD Main CMC
00439FFE Main CMP SP,7CB8
0043A003 Main NEG ECX ; ECX=8F94208F
0043A005 Main LEA ECX,DWORD PTR DS:[ECX+A504E271] ; ECX=34990300
0043A00B Main JMP vmptest_.00416562
00416562 Main BSWAP ECX ; ECX=00039934
00416564 Main XOR EBX,ECX ; EBX=00456CE1
00416566 Main CMP SI,130B
0041656B Main ADD EDI,ECX ; EDI=0046A369 ;上面說到了取bytescode鏈上的值
0041656D Main JMP vmptest_.0045F2B5 ; 經過解密后 與JumpBase相加得到下一個指令的地址
0045F2B5 Main PUSH EDI ; 然后把這個地址壓棧 RET反彈給物理機EIP
0045F2B6 Main RETN ;或者這里你可能也會遇到jmp edi 他們是一樣的功能
上面這個我們沒有去混淆，我們直接分析了。那么肯定是有技巧的是吧，從上往下看，push 和pushfd肯定要保留，這個是重要的，然后從下往上分析，EDI是重要的，然后看到誰影響了EDI一直這樣往上找去，有關的提取出來。另外關于ESP寄存器的要保留下來，主要是ESP減0xC0這個開VM棧空間和VM_REG空間，還有ESP在減0xC0之前把值給了誰，誰就是VM_ESP即vm棧頂(棧底)，當然給的這個寄存器不在傳遞給其他寄存器的話才行，但目前我并沒有遇到還在傳遞的情況。我們是看了開始,我們在看看緊跟著的VM指令:
VM_PopReg32 vm_context->0x10
---------------------------------------------------------------------------------------------
0046A369 Main MOV EAX,DWORD PTR SS:[EBP] ;返回上面看看我們說EBP是上面壓的物理環境的棧頂
0046A36D Main STC ;
0046A36E Main ROR DL,CL ; EDX=00401080
0046A370 Main LEA EBP,DWORD PTR SS:[EBP+4] ; EBP=0012FF64 ;這里EBP = EBP + 4 棧回縮是不 那不就是出棧的意思
0046A376 Main MOVZX EDX,BYTE PTR DS:[ESI] ; EDX=0000008D ;注意這種取1byte的指令類似這個
0046A379 Main CMP CX,BP
0046A37C Main ADD ESI,1 ; ESI=0046F5DA ;ESI+1 剛剛說了esi是bytescode 他也保存了寄存器
0046A382 Main CMP CX,4F65 ;編號 我們不是之前叫他跳轉間隔嗎 噢見鬼了
0046A387 Main CMP ECX,EBX ;反正我們知道他有這樣的能力就可以 這里ESI+=1
0046A389 Main XOR DL,BL ; EDX=0000006C ;有可能他不是正向走 可能是-1 那上面的也對應-4
0046A38B Main TEST DI,5D07 ;這沒什么好爭論的不是嗎 具體看匯編就出來了
0046A390 Main STC ;為什么會這么說 是以為我之前有遇到是反向增長
0046A391 Main NOT DL ; EDX=00000093 ;看到上面的 xor dl,bl 記得我說的EBX是解密因子了沒
0046A393 Main CMP DI,2768
0046A398 Main JMP vmptest_.0043EDAF
0043EDAF Main SUB DL,8B ; EDX=00000008
0043EDB2 Main CMC
0043EDB3 Main ROR DL,1 ; EDX=00000004
0043EDB5 Main DEC DL ; EDX=00000003
0043EDB7 Main JMP vmptest_.00413DC1
00413DC1 Main NOT DL ; EDX=000000FC
00413DC3 Main CMP SP,6B29
00413DC8 Main JMP vmptest_.00416D48
00416D48 Main ADD DL,14 ; EDX=00000010
00416D4B Main STC
00416D4C Main XOR BL,DL ; EBX=00456CF1;而這里我們主要關心EDX的值不是嗎 這里是0x10
00416D4E Main MOV DWORD PTR SS:[ESP+EDX],EAX ; 發現EDX是從上面去esi地址1byte值經過變化而來的
00416D51 Main AND DH,0F7 ; 而我們之前說的什么ESP指向的是vm_context是吧
00416D54 Main NEG DX ; EDX=0000FFF0;在結合我們上面的分析 這應該是一個出棧的操作
00416D57 Main MOV EDX,DWORD PTR DS:[ESI] ; EDX=E45184BF;在次取ESI (bytescode)的值 關鍵 這個是跳轉間隔密文
00416D59 Main CMP ESI,EDI
00416D5B Main CMC
00416D5C Main JMP vmptest_.00419F08
00419F08 Main ADD ESI,4 ; ESI=0046F5DE;ESI += 4
00419F0E Main STC
00419F0F Main XOR EDX,EBX ; EDX=E414E84E
00419F11 Main TEST DH,36
00419F14 Main XOR EDX,29474E33 ; EDX=CD53A67D
00419F1A Main TEST ESP,EDX
00419F1C Main ADD EDX,64682765 ; EDX=31BBCDE2
00419F22 Main JMP vmptest_.00472890
00472890 Main NEG EDX ; EDX=CE44321E
00472892 Main TEST SI,BX
00472895 Main STC
00472896 Main ADD EDX,44017C67 ; EDX=1245AE85
0047289C Main JMP vmptest_.00463068
00463068 Main ROR EDX,1 ; EDX=8922D742
0046306A Main CMP CX,DI
0046306D Main STC
0046306E Main CMP DI,358A
00463073 Main NEG EDX ; EDX=76DD28BE
00463075 Main JMP vmptest_.0047F903
0047F903 Main BSWAP EDX ; EDX=BE28DD76
0047F905 Main INC EDX ; EDX=BE28DD77
0047F906 Main STC
0047F907 Main XOR EDX,41D507D0 ; EDX=FFFDDAA7
0047F90D Main XOR EBX,EDX ; EBX=FFB8B656;注意這里解密因子 ebx 改變 每一個vm指令都有這個
0047F90F Main CMP SP,BP
0047F912 Main TEST EDX,29E10AB5 ;解密因子的參與 接下來我就不多提他了 記得每個指令都有
0047F918 Main STC ;而且每運行一個vm指令 他都會變
0047F919 Main ADD EDI,EDX ; EDI=00447E10;跳轉間隔經過解密后 與JumpBase相加
0047F91B Main JMP vmptest_.00420B9F
00420B9F Main PUSH EDI
00420BA0 Main RETN ;跳轉到下一條指令地址
-------------------------------------------------------------------------------------------------
然后針對VM指令非入口和出口的分析，也有方法，當然可能這些方法這是適用我們當前遇到的指令(即目前這個demo)。看到第一條指令是取VM_ESP位置的uint32_t值 ，然后VM_ESP回縮4byte，第一反應就是這個應該是pop操作，在往下看看，能不能看到MOV [ESP + REG1],REG2 這個樣子的匯編，OK能找到，那么明顯就是棧中彈數據到VM_REG中了。在往下看是取VM_Bytescode中的值然后解密與VM_JumpBase相加。無疑是VM_PopReg32了，但是那個寄存器呢？看到
00416D4E Main MOV DWORD PTR SS:[ESP+EDX],EAX ;往上看到EDX的值 看右邊的追蹤結果 EDX=0x10
所以我們這里應該翻譯為VM_PopReg32 vm_context->0x10 或者 VM_PopReg32 DwReg4 (0x10/4=4) 可能名字和別人不一樣，差不多就是這個意思。注意看看這個EDX的值也是從VM_Bytescode中得到解密出來的。然后緊跟著的幾條重要的VM指令我就不一一分析了，和上面是同理的，我直接貼分析出的VM指令
[---------VM_Init--------] 這里我們可以又把這幾條vm指令解釋為VM_Init 主要是把物理環境反彈到虛擬機里面
/----------------------------------------------------------------------
VM_PopReg32 vm_context->0x10 0x00000000
VM_PopReg32 vm_context->0x2C
VM_PopReg32 vm_context->0x18
VM_PopReg32 vm_context->0x28
VM_PopReg32 vm_context->0x20 0x0012FF94
VM_PopReg32 vm_context->0x08 0x7FFDF000
VM_PopReg32 vm_context->0x24 0x00000000
VM_PopReg32 vm_context->0x3C 0x00000246
VM_PopReg32 vm_context->0x30 0x00401008
VM_PopReg32 vm_context->0x14 0x0044A58A 那我們很早之前說的上面壓棧是保存物理機環境就不太對了
VM_PopReg32 vm_context->0x0C 0x83819110 應該說是 物理機環境映射到虛擬機的一個過渡
\-------------------------------------------------------------------------
把物理環境彈入VM寄存器環境后,重新調整vm_bytescode的指向和之前的VM_REG亂序，就比如上面這個vm_context->0x14是push + call 中call的下一個地址 ，經過調整后vm_context->0x14也就不是這個地址了(這個地址并不是退出VM后僅跟著的執行真實匯編的地址)，再比如EBP是vm_bytescode，變換后EBP可能就不是了，可能是EBX或者EAX等。我就不貼代碼了，之后會有整理。
VM_Exit
/------------------------------------------------------------------------------
0047A839 Main MOV ESP,EDI ;虛擬機棧給物理機esp棧 沒錯了這里應該是要
0047A83B Main OR AX,CX ; EAX=0000EFEA;返回物理機了
0047A83E Main POP ECX ; ECX=00000000;彈棧 ECX
0047A83F Main ROR DX,CL ;看到這么多pop 看來是真的要還原到物理機了
0047A842 Main CMP DH,DL ;在看看我們的進度條 也到底了 終于分析完了
0047A844 Main POP EBP ; EBP=0012FF94;彈棧 EBP
0047A845 Main POP EAX ; EAX=00004545;彈棧 EAX
0047A846 Main POP EBX ; EBX=7FFDF000;彈棧 EBX
0047A847 Main OR DI,73E7 ; EDI=0012FFEF
0047A84C Main ADC DI,6287 ; EDI=00126276
0047A851 Main CMOVO SI,DI
0047A855 Main POP EDI ; EDI=00000000;彈棧 EDI
0047A856 Main CWD ; EDX=00120000
0047A858 Main POPFD ;彈棧 EFLAGS 符號寄存器
0047A859 Main POP ESI ; ESI=00000000;彈棧 ESI
0047A85A Main POP EDX ; EDX=00401008;彈棧 EDX
0047A85B Main RETN ;返回物理機
Breakpoint at vmptest_.00401040
00401040 Main PUSH EAX ; <%04X> = 4545 返回物理機第一條匯編
Run trace closed
我們可以看到ESP寄存器的值被EDI賦值了，然后從棧中彈出值到物理機(真實環境)的寄存器中。那么這個EDI應該是被安排了真實環境的值，很可能他就是VM_ESP是吧。我們在往上分析一下看看，我直接貼關鍵的VM指令
[---------VM_Destroy----------] 下面的這幾句你可以各類為新的vm指令 他其實就是準備退出虛擬機時把 處理后的物理環境壓棧
/----------------------------------------------------------------------------------------
VM_PushImm32 0x00401040 retAddr
VM_PushReg32 vm_context->0x14 0x00401008
VM_PushReg32 vm_context->0x30 0x00000000
VM_PushReg32 vm_context->0x18 0x00000202
VM_PushReg32 vm_context->0x24 0x00000000
VM_PushReg32 vm_context->0x04 0x7FFDF000
VM_PushReg32 vm_context->0x10 0x00004545 我們要的最終值
VM_PushReg32 vm_context->0x3C 0x0012FF94
VM_PushReg32 vm_context->0x28 0x00000000
\-------------------------------------------------------------------------------------------
這里我就不展示EDI是VM_ESP了，我可以告訴你他是的。看看這個返回地址他是由VM_Bytescode中得到的，還記得我們VM_Entry進來時壓的那個push + call 中 call指令后面的地址嗎，不是返回僅跟著CALL后面地址的位置，所以我們往往在那個地方下斷點就沒作用。
如果您對該加密/解密軟件感興趣，歡迎加入加密/解密QQ交流群：740060302
標簽：
本站文章除注明轉載外，均為本站原創或翻譯。歡迎任何形式的轉載，但請務必注明出處、不得修改原文相關鏈接，如果存在內容上的異議請郵件反饋至chenjj@ke049m.cn
文章轉載自：
半島外圍網上直營 
4次
相關產品
正式授權
最新文章 
半島外圍網上直營相關的文章 
微信
在線咨詢
渝公網安備
50010702500608號
客服熱線