VMProtect是一種很可靠的工具，可以保護(hù)應(yīng)用程序代碼免受分析和破解，但只有在應(yīng)用程序內(nèi)保護(hù)機(jī)制正確構(gòu)建且沒(méi)有可能破壞整個(gè)保護(hù)的嚴(yán)重錯(cuò)誤的情況下，才能實(shí)現(xiàn)最好的效果。

VMProtect通過(guò)在具有非標(biāo)準(zhǔn)體系結(jié)構(gòu)的虛擬機(jī)上執(zhí)行代碼來(lái)保護(hù)代碼，這將使分析和破解軟件變得十分困難。除此之外，VMProtect還可以生成和驗(yàn)證序列號(hào)，限制免費(fèi)升級(jí)等等。

下載VMProtect最新試用版

VMProtect正版授權(quán)在線訂購(gòu)享受最低價(jià)，僅售801元起！還不趕緊加入你的訂購(gòu)清單？>>更多詳情可點(diǎn)擊咨詢購(gòu)買

Tls回調(diào)函數(shù)（上）

VmCALL

可以看到，VmCALL取棧中DWORD作為基數(shù)計(jì)算RBX和RSI，我們第一篇分析過(guò)，RSI指向字節(jié)碼緩沖區(qū)，RBX為解密Seed，也就是說(shuō)每個(gè)Chunk都有自己的RSI和RBX。

Chunk1

在繼續(xù)分析Chunk之前，可先參考下節(jié)Nor Gate說(shuō)明，其對(duì)用到的運(yùn)算的Nor變換做了詳細(xì)說(shuō)明，下面的分析不在贅述。

等價(jià)邏輯：

If (*(BYTE*)(000000014018B3E7 + $HandlerBase) != 0)
{
//未執(zhí)行
VmCALL 40180B57
}
Else
{
//即Chunk2
VmCALL 40183322
}

Chunk2

等價(jià)邏輯：

If (*(BYTE*)($ImageBase + AddressOfEntryPoint) != 0xCC)
{
//即Chunk3
VmCALL 4018BB57
}
Else
{
//雖然調(diào)試器設(shè)置默認(rèn)在入口地址處下int3斷點(diǎn)，但是我們的腳本啟動(dòng)時(shí)，會(huì)把所有斷點(diǎn)禁用，因此并沒(méi)有走Else分支。
VmCALL 4018BC08
}

Chunk3

[Anakin] VmRet

沒(méi)有特別需要關(guān)注的信息，處理寄存器，函數(shù)執(zhí)行完畢，返回調(diào)用處。

If (*(BYTE*)(000000014018B3E7 + $HandlerBase) != 0)
{
//未執(zhí)行
VmCALL 40180B57
}
Else
{
If (*(BYTE*)($ImageBase + AddressOfEntryPoint) != 0xCC)
{
Return
}
Else
{
//雖然調(diào)試器設(shè)置默認(rèn)在入口地址處下int3斷點(diǎn)，但是我們的腳本運(yùn)行時(shí)，會(huì)把所有斷點(diǎn)禁用(line 15)，因此并沒(méi)有走Else分支。
//PS：  這個(gè)分支會(huì)在 $HandlerBase + 000000014018B3E8 地址處寫一個(gè)字節(jié)‘0x01’，然后返回。
//            此處暫略，后文分析反調(diào)試時(shí)再談。
VmCALL 4018BC08
}
}

Nor Gate

基本單元：或非門（Nor）

取反（~）

[Anakin] VmNOTANDB                  ;b = NOTAND(b, b)

取反計(jì)算~v實(shí)現(xiàn)如下：

Result = Nor(v, v)

與（&）

[Anakin] VmNOTAND                   ;d1 = NOTAND(d1, FFFFF7EA)          => d1 = Nor(~V_10, ~00000815) = V_10 & 00000815

異或（^）

[Anakin] VmPOP V_08                 ;V_08 = NOTAND(d2, d1)              => V_08 = Nor(d1, d2) = V_A8 ^ 246E5573

減法（-）

[Anakin] VmPOPW8 V_60               ;V_60 = b = BYTE:[000000014018B3E7 + $HandlerBase] - 0 

此處不做推導(dǎo)，看幾個(gè)實(shí)例：

不等（!=）

不等判斷需結(jié)合上文的'減法'分析，代碼中V_70為eflag(v1 - v2);

(Nor(Eflags(v1 - v2), 000000BF) >> 6)  == 1。

如果您對(duì)該加密/解密軟件感興趣，歡迎加入vmpQQ交流群：740060302