原始PE結(jié)構(gòu):
├─ .text  (500KB) - 可執(zhí)行代碼
├─ .data  (100KB) - 數(shù)據(jù)
└─ .rsrc  (200KB) - 資源

↓ 壓縮后 ↓

├─ .vmp0  (150KB) - 壓縮的代碼+解壓stub
├─ .vmp1  (80KB)  - 壓縮的數(shù)據(jù)  
└─ .rsrc  (200KB)

運(yùn)行時(shí)：
1. 解壓.vmp0到內(nèi)存
2. 修復(fù)重定位
3. 跳轉(zhuǎn)執(zhí)行

; 原始代碼
mov eax, 5
add eax, 3
ret

; ↓ 虛擬化后 ↓

push offset vm_bytecode  ; VM字節(jié)碼
call vm_interpreter      ; 調(diào)用VM解釋器
ret

; vm_bytecode (自定義指令):
; 0x45 0x05 0x00 0x00 0x00  ; VM_MOV eax, 5
; 0x12 0x03 0x00 0x00 0x00  ; VM_ADD eax, 3
; 0xFF                      ; VM_RET

// 原始
int add(int a, int b) {
    return a + b;
}

// SDK標(biāo)記
#include "VMProtectSDK.h"
int add(int a, int b) {
    VMProtectBeginVirtualization("Add");
    return a + b;
    VMProtectEnd();
}

; 原始導(dǎo)入表
IMPORT TABLE:
  kernel32.dll
    - CreateFileA
    - ReadFile

; ↓ 保護(hù)后 ↓

IMPORT TABLE:
  kernel32.dll
    - LoadLibraryA  ; 只保留最基礎(chǔ)的

; 運(yùn)行時(shí)動(dòng)態(tài)獲取
char* encrypted = "\x3F\x12\x7A...";  // 加密的 "CreateFileA"
decrypt(encrypted);
pCreateFile = GetProcAddress(LoadLibrary("kernel32"), decrypted);
pCreateFile(...);  // 調(diào)用

// 原始
MessageBoxA(NULL, "Hello", "Test", 0);

// 保護(hù)后（偽代碼）
typedef int (WINAPI *pMsgBox)(HWND, LPCSTR, LPCSTR, UINT);
pMsgBox MyMsgBox = vmp_get_api(0x1A3F);  // 內(nèi)部索引
MyMsgBox(NULL, vmp_str(0x2B4C), vmp_str(0x3D5E), 0);

// 原始
const char* key = "MySecretKey123";
if (strcmp(input, key) == 0) { ... }

// ↓ 加密后 ↓

// 數(shù)據(jù)段存儲(chǔ)
.data
encrypted_str db 0xA3,0x7F,0x2B,0x9C,... ; 加密的字符串

// 代碼中
char* key = vmp_decrypt_string(0x004050A0);
if (strcmp(input, key) == 0) {
    vmp_free_string(key);  // 用完立即清除
}

// 1. IsDebuggerPresent
if (IsDebuggerPresent()) {
    ExitProcess(0);
}

// 2. PEB檢測(cè)
bool CheckDebug() {
    __asm {
        mov eax, fs:[0x30]      // PEB
        movzx eax, byte ptr [eax+2]  // BeingDebugged
        test eax, eax
    }
}

// 3. NtQueryInformationProcess
BOOL isDebug = FALSE;
NtQueryInformationProcess(GetCurrentProcess(), 
    ProcessDebugPort, &isDebug, sizeof(BOOL), NULL);

// 4. 時(shí)間檢測(cè)
DWORD t1 = GetTickCount();
// 一些代碼
DWORD t2 = GetTickCount();
if (t2 - t1 > 1000) { /* 被調(diào)試 */ }

// 5. 硬件斷點(diǎn)檢測(cè)
CONTEXT ctx = {0};
ctx.ContextFlags = CONTEXT_DEBUG_REGISTERS;
GetThreadContext(GetCurrentThread(), &ctx);
if (ctx.Dr0 || ctx.Dr1 || ctx.Dr2 || ctx.Dr3) {
    /* 檢測(cè)到硬件斷點(diǎn) */
}

// 6. INT 3檢測(cè)
__try {
    __asm int 3
} __except(EXCEPTION_EXECUTE_HANDLER) {
    // 正常程序會(huì)走這里
}

// 7. 檢測(cè)調(diào)試器窗口
if (FindWindow("OLLYDBG", NULL) || 
    FindWindow("WinDbgFrameClass", NULL)) {
    ExitProcess(0);
}

反虛擬機(jī) (Anti-VM)

檢測(cè)技術(shù)：

// 1. CPUID檢測(cè)
void CheckVM() {
    int cpuInfo[4];
    __cpuid(cpuInfo, 1);
    if (cpuInfo[2] & (1 << 31)) {
        // Hypervisor bit set
        ExitProcess(0);
    }
}

// 2. 特征文件檢測(cè)
if (PathFileExists("C:\\Windows\\System32\\drivers\\vmmouse.sys") ||
    PathFileExists("C:\\Windows\\System32\\drivers\\vmhgfs.sys")) {
    // VMware檢測(cè)
}

// 3. 注冊(cè)表檢測(cè)
HKEY hKey;
if (RegOpenKey(HKEY_LOCAL_MACHINE, 
    "SOFTWARE\\VMware, Inc.\\VMware Tools", &hKey) == ERROR_SUCCESS) {
    // VMware
}

// 4. MAC地址檢測(cè)
// VMware前綴: 00:05:69, 00:0C:29, 00:50:56
// VirtualBox前綴: 08:00:27

// 5. 指令時(shí)間檢測(cè)
DWORD t1 = __rdtsc();
// 執(zhí)行一些指令
DWORD t2 = __rdtsc();
if (t2 - t1 > threshold) { /* VM環(huán)境 */ }

強(qiáng)度：★★★
繞過(guò)：修改VM配置

// 1. CRC校驗(yàn)
DWORD original_crc = 0x12345678;
DWORD current_crc = calc_crc32(code_section, size);
if (current_crc != original_crc) {
    ExitProcess(0);  // 代碼被修改
}

// 2. 定期校驗(yàn)
void __stdcall CheckThread(LPVOID param) {
    while (true) {
        Sleep(1000);
        if (!verify_memory()) {
            TerminateProcess(GetCurrentProcess(), 0);
        }
    }
}

// 3. 頁(yè)面保護(hù)
VirtualProtect(code_section, size, PAGE_EXECUTE_READ, &old);
// 任何寫(xiě)入會(huì)觸發(fā)異常

// 原始
HRSRC hRes = FindResource(NULL, MAKEINTRESOURCE(101), RT_BITMAP);
HGLOBAL hData = LoadResource(NULL, hRes);
void* pData = LockResource(hData);

// ↓ 保護(hù)后 ↓

// 資源段全部加密
.rsrc section: [encrypted data]

// 運(yùn)行時(shí)
HRSRC hRes = FindResource(...);
// VMProtect攔截LoadResource
HGLOBAL hData = LoadResource(...);  // 內(nèi)部解密
void* pData = LockResource(hData);  // 返回解密數(shù)據(jù)

應(yīng)用VMProtect后（簡(jiǎn)化示意）

// 編譯后的保護(hù)代碼（逆向視角）

.text:00401000  ; VMP Entry
.text:00401000  push    ebp
.text:00401001  call    vmp_init_2FA3C
.text:00401006  jmp     vm_dispatcher_1

// 原始的main函數(shù)代碼已經(jīng)不存在
// 被轉(zhuǎn)換為：

.vmp0:00501000  db 0x4A, 0x8F, 0x23, ...  ; VM字節(jié)碼
.vmp0:00501100  db 0x7C, 0x12, 0xAB, ...  

.vmp1:00502000  ; VM解釋器
.vmp1:00502000  vm_handler_0:
.vmp1:00502000      mov al, [esi]
.vmp1:00502002      inc esi
.vmp1:00502003      movzx eax, al
.vmp1:00502006      jmp [vm_table + eax*4]

// 字符串也被加密
.data:00601000  encrypted_str1  db 0xA4,0x7F,0x9C,...
.data:00601020  encrypted_str2  db 0x3E,0x12,0x88,...

// 導(dǎo)入表被隱藏
.idata:00701000  ; 只剩下
.idata:00701000  dd offset LoadLibraryA
.idata:00701004  dd offset GetProcAddress

保護(hù)強(qiáng)度對(duì)比表

┌─────────────────────────────────────────────────────────┐
│                    DOS Header (64字節(jié))                   │  ← 開(kāi)頭的"MZ"標(biāo)記
│  "這是個(gè)老式DOS程序" 的偽裝外殼                           │
├─────────────────────────────────────────────────────────┤
│                    DOS Stub (可變)                       │
│  "This program cannot be run in DOS mode"               │  ← 在DOS下運(yùn)行會(huì)看到的提示
├─────────────────────────────────────────────────────────┤
│                    PE Signature (4字節(jié))                  │
│                    "PE\0\0"                             │  ← 真正的PE文件標(biāo)記
├─────────────────────────────────────────────────────────┤
│                 File Header (20字節(jié))                     │
│  記錄機(jī)器類(lèi)型、節(jié)數(shù)量、時(shí)間戳等基本信息                    │
├─────────────────────────────────────────────────────────┤
│              Optional Header (224/240字節(jié))               │
│  記錄程序入口點(diǎn)、內(nèi)存布局、導(dǎo)入導(dǎo)出等關(guān)鍵信息              │
├─────────────────────────────────────────────────────────┤
│              Section Table (每節(jié)40字節(jié))                  │
│  .text  .data  .rdata  .rsrc 等節(jié)的"目錄"              │
├─────────────────────────────────────────────────────────┤
│                                                         │
│                   Section 1 (.text)                     │  ← 代碼區(qū)
│                   你寫(xiě)的代碼在這里                        │
│                                                         │
├─────────────────────────────────────────────────────────┤
│                   Section 2 (.data)                     │  ← 數(shù)據(jù)區(qū)
│                   全局變量在這里                          │
├─────────────────────────────────────────────────────────┤
│                   Section 3 (.rsrc)                     │  ← 資源區(qū)
│                   圖標(biāo)、對(duì)話(huà)框、字符串在這里               │
└─────────────────────────────────────────────────────────┘

偏移    大小    字段名              白話(huà)文解釋
+0x00   2字節(jié)   e_magic            "MZ" 標(biāo)記（0x5A4D）—— 所有PE文件必須以這兩個(gè)字母開(kāi)頭
+0x02   58字節(jié)  [其他DOS字段]       基本沒(méi)用，為了兼容古董DOS系統(tǒng)
+0x3C   4字節(jié)   e_lfanew           **超重要！** 指向真正的PE頭在哪里

+0x00   4字節(jié)   Signature          "PE\0\0" (0x50450000)

偏移    大小    字段名                  白話(huà)文解釋
+0x00   2字節(jié)   Machine                CPU類(lèi)型（0x14C=x86, 0x8664=x64）
+0x02   2字節(jié)   NumberOfSections       這個(gè)程序有幾個(gè)"節(jié)"（通常3-6個(gè)）
+0x04   4字節(jié)   TimeDateStamp          程序編譯的時(shí)間戳
+0x08   4字節(jié)   PointerToSymbolTable   調(diào)試符號(hào)表位置（發(fā)布版通常是0）
+0x0C   4字節(jié)   NumberOfSymbols        符號(hào)數(shù)量
+0x10   2字節(jié)   SizeOfOptionalHeader   下一個(gè)頭的大小（32位=224, 64位=240）
+0x12   2字節(jié)   Characteristics        文件屬性標(biāo)志

0x0002  IMAGE_FILE_EXECUTABLE_IMAGE     可執(zhí)行文件（不是obj）
0x0100  IMAGE_FILE_32BIT_MACHINE        32位程序
0x2000  IMAGE_FILE_DLL                  這是個(gè)DLL文件

偏移    大小    字段名                  白話(huà)文解釋
+0x00   2字節(jié)   Magic                  0x10B(32位) / 0x20B(64位)
+0x02   1字節(jié)   MajorLinkerVersion     編譯器版本
+0x03   1字節(jié)   MinorLinkerVersion
+0x04   4字節(jié)   SizeOfCode             代碼段總大小
+0x08   4字節(jié)   SizeOfInitializedData  已初始化數(shù)據(jù)大小
+0x0C   4字節(jié)   SizeOfUninitializedData未初始化數(shù)據(jù)大小
+0x10   4字節(jié)   AddressOfEntryPoint    **入口點(diǎn)！程序從這里開(kāi)始執(zhí)行**
+0x14   4字節(jié)   BaseOfCode             代碼段起始地址
+0x18   4字節(jié)   BaseOfData             數(shù)據(jù)段起始地址（僅32位）

偏移    大小    字段名                  白話(huà)文解釋
+0x1C   4/8字節(jié) ImageBase              程序希望加載到內(nèi)存的哪個(gè)地址
+0x20   4字節(jié)   SectionAlignment       節(jié)在內(nèi)存中的對(duì)齊單位（通常0x1000=4KB）
+0x24   4字節(jié)   FileAlignment          節(jié)在文件中的對(duì)齊單位（通常0x200=512字節(jié)）
+0x28   8字節(jié)   [操作系統(tǒng)版本號(hào)]
+0x30   8字節(jié)   [程序版本號(hào)]
+0x38   8字節(jié)   [子系統(tǒng)版本號(hào)]
+0x40   4字節(jié)   Win32VersionValue      保留（總是0）
+0x44   4字節(jié)   SizeOfImage            程序加載到內(nèi)存后的總大小
+0x48   4字節(jié)   SizeOfHeaders          所有頭的總大小
+0x4C   4字節(jié)   CheckSum               校驗(yàn)和（驅(qū)動(dòng)必須正確，普通程序可為0）
+0x50   2字節(jié)   Subsystem              子系統(tǒng)類(lèi)型
+0x52   2字節(jié)   DllCharacteristics     DLL特性標(biāo)志
+0x54   16字節(jié)  [棧/堆大小設(shè)置]
+0x64   4字節(jié)   NumberOfRvaAndSizes    數(shù)據(jù)目錄數(shù)量（通常是16）

1 = Native（驅(qū)動(dòng)程序）
2 = GUI（窗口程序）
3 = CUI（控制臺(tái)程序，黑框框）

0x0040  DYNAMIC_BASE           支持ASLR（地址隨機(jī)化）
0x0100  NX_COMPAT              支持DEP（數(shù)據(jù)執(zhí)行保護(hù)）
0x0400  NO_SEH                 不使用SEH異常處理
0x8000  TERMINAL_SERVER_AWARE  終端服務(wù)器感知

索引  名稱(chēng)                        作用
[0]   Export Table              導(dǎo)出表（DLL導(dǎo)出的函數(shù)列表）
[1]   Import Table              導(dǎo)入表（程序要用哪些DLL的哪些函數(shù)）
[2]   Resource Table            資源表（圖標(biāo)、字符串、對(duì)話(huà)框）
[3]   Exception Table           異常處理表
[4]   Certificate Table         數(shù)字簽名
[5]   Base Relocation Table     重定位表（修正地址用）
[6]   Debug                     調(diào)試信息
[7]   Architecture              架構(gòu)特定數(shù)據(jù)
[8]   Global Ptr                全局指針寄存器
[9]   TLS Table                 線(xiàn)程局部存儲(chǔ)
[10]  Load Config Table         加載配置
[11]  Bound Import              綁定導(dǎo)入
[12]  IAT                       導(dǎo)入地址表（最常被破解者關(guān)注！）
[13]  Delay Import Descriptor   延遲導(dǎo)入
[14]  CLR Runtime Header        .NET程序?qū)Ｓ?[15]  Reserved                  保留

+0x00  4字節(jié)  VirtualAddress    數(shù)據(jù)在內(nèi)存中的RVA
+0x04  4字節(jié)  Size              數(shù)據(jù)的大小

偏移    大小    字段名              白話(huà)文解釋
+0x00   8字節(jié)   Name               節(jié)名稱(chēng)（如".text"、".data"）
+0x08   4字節(jié)   VirtualSize        在內(nèi)存中的實(shí)際大小
+0x0C   4字節(jié)   VirtualAddress     在內(nèi)存中的起始地址(RVA)
+0x10   4字節(jié)   SizeOfRawData      在文件中的大小
+0x14   4字節(jié)   PointerToRawData   在文件中的偏移
+0x18   12字節(jié)  [重定位/行號(hào)信息]   通常為0
+0x24   4字節(jié)   Characteristics    節(jié)的屬性（可讀/可寫(xiě)/可執(zhí)行）

.text   代碼段（你的程序邏輯）          可讀+可執(zhí)行
.data   已初始化數(shù)據(jù)（全局變量）        可讀+可寫(xiě)
.rdata  只讀數(shù)據(jù)（常量字符串）          只讀
.bss    未初始化數(shù)據(jù)                   可讀+可寫(xiě)
.rsrc   資源（圖標(biāo)、菜單、字符串）      只讀
.reloc  重定位信息                     只讀
.idata  導(dǎo)入表（需要的DLL函數(shù)）        可讀+可寫(xiě)
.edata  導(dǎo)出表（DLL導(dǎo)出的函數(shù)）        只讀

0x00000020  CODE                 包含代碼
0x00000040  INITIALIZED_DATA     包含已初始化數(shù)據(jù)
0x00000080  UNINITIALIZED_DATA   包含未初始化數(shù)據(jù)
0x20000000  EXECUTE              可執(zhí)行
0x40000000  READ                 可讀
0x80000000  WRITE                可寫(xiě)

假設(shè)程序被加載到內(nèi)存地址 0x00400000
某個(gè)函數(shù)的RVA是 0x1000
那么這個(gè)函數(shù)的實(shí)際內(nèi)存地址 = 0x00400000 + 0x1000 = 0x00401000

文件偏移：在硬盤(pán)上的.exe文件中的位置
內(nèi)存地址：程序運(yùn)行時(shí)在內(nèi)存中的位置
需要通過(guò)節(jié)表來(lái)轉(zhuǎn)換！

FileAlignment = 0x200 (512字節(jié))
→ 文件中每個(gè)節(jié)的起始位置必須是512的倍數(shù)

SectionAlignment = 0x1000 (4096字節(jié))
→ 內(nèi)存中每個(gè)節(jié)的起始位置必須是4KB的倍數(shù)

偏移      十六進(jìn)制                            解釋
00000000: 4D 5A 90 00 03 00 00 00...         MZ = DOS頭開(kāi)始
0000003C: E0 00 00 00                         e_lfanew = 0xE0
000000E0: 50 45 00 00                         PE簽名
000000E4: 4C 01 06 00                         Machine=0x014C(x86), Sections=6
000000F8: 0B 01                               Magic=0x10B(32位)
00000100: 00 10 00 00                         AddressOfEntryPoint=0x1000

? AddressOfEntryPoint    → 程序從哪里開(kāi)始跑
? Import Table (IAT)     → 調(diào)用了哪些關(guān)鍵API（MessageBox? RegCreateKey?）
? .text 節(jié)               → 注冊(cè)驗(yàn)證代碼藏在這里
? Characteristics        → 能不能改這個(gè)節(jié)的數(shù)據(jù)
? Resource Table         → 修改圖標(biāo)、字符串、對(duì)話(huà)框

你的原始代碼 (x86匯編):
┌──────────────────────────────┐
│ MOV EAX, [EBP+8]  ; 取一個(gè)參數(shù)  │
│ ADD EAX, 10       ; 加上 10     │
│ CMP EAX, 1234     ; 和 1234 比較 │
│ JNE loc_failed    ; 不相等就跳走  │
│ CALL CheckLicense ; 相等就調(diào)用授權(quán) │
└──────────────────────────────┘
                ↓ 經(jīng)過(guò) VMProtect 處理后...
┌──────────────────────────────────────────────────────┐
│            VM Entry（虛擬機(jī)入口）                      │
│  功能: 保存當(dāng)前CPU的真實(shí)寄存器狀態(tài) (PUSHAD/PUSHFD)，     │
│        初始化虛擬機(jī)的環(huán)境（虛擬寄存器、虛擬棧指針等）。      │
├──────────────────────────────────────────────────────┤
│        Bytecode（自定義的字節(jié)碼）                       │
│  內(nèi)容: 0x47 0x12 0x89 0xAA 0x3F 0x91 0x05 ...         │
│  特點(diǎn): 這串字節(jié)碼不是x86指令，只有VMP自己生成的虛擬機(jī)能看懂。│
├──────────────────────────────────────────────────────┤
│            VM Dispatcher（調(diào)度器 / 指令分發(fā)器）         │
│  功能: 這是一個(gè)循環(huán)，不斷地讀取下一個(gè)字節(jié)碼，然后根據(jù)這個(gè) │
│        字節(jié)碼的值，跳轉(zhuǎn)到對(duì)應(yīng)的處理器(Handler)去執(zhí)行。  │
├──────────────────────────────────────────────────────┤
│         VM Handlers（處理器集合）                     │
│  功能: 每一個(gè)Handler都是一小段真實(shí)的x86代碼，負(fù)責(zé)實(shí)現(xiàn) │
│        一個(gè)字節(jié)碼的功能。例如：                       │
│  - Handler_0x47: 實(shí)現(xiàn)“虛擬加法”功能。                 │
│  - Handler_0x12: 實(shí)現(xiàn)“虛擬數(shù)據(jù)加載”功能。             │
│  - Handler_0x89: 實(shí)現(xiàn)“虛擬比較”功能。                 │
│  特點(diǎn): 這些Handler之間互相穿插，充滿(mǎn)了垃圾指令，讓你難以分析。│
├──────────────────────────────────────────────────────┤
│            VM Exit（虛擬機(jī)退出）                      │
│  功能: 執(zhí)行完虛擬化代碼后，從虛擬機(jī)環(huán)境退出，恢復(fù)之前保存的│
│        真實(shí)CPU寄存器狀態(tài)，然后返回到正常的x86代碼繼續(xù)執(zhí)行。│
└──────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────┐
│          VMProtect 2 保護(hù)技術(shù)架構(gòu)圖                  │
├─────────────────────────────────────────────────────┤
│                                                     │
│  ┌─────────────┐  ┌──────────────┐  ┌───────────┐ │
│  │ Virtualization│  │  Mutation    │  │  Packing  │ │
│  │   虛擬化      │  │   變異混淆    │  │   加殼    │ │
│  └─────────────┘  └──────────────┘  └───────────┘ │
│         ↓                ↓                 ↓        │
│  ┌─────────────────────────────────────────────┐   │
│  │         Anti-Debug & Anti-Dump              │   │
│  │         反調(diào)試 & 反轉(zhuǎn)儲(chǔ)                      │   │
│  └─────────────────────────────────────────────┘   │
│                                                     │
└─────────────────────────────────────────────────────┘

原始代碼（x86匯編）:
┌──────────────────────────────┐
│ MOV EAX, [EBP+8]             │
│ ADD EAX, 10                  │
│ CMP EAX, 64                  │
│ JNE loc_failed               │
│ CALL CheckLicense            │
└──────────────────────────────┘
                ↓ VMProtect 處理
┌──────────────────────────────────────────────────────┐
│            VM Entry（虛擬機(jī)入口）                      │
│  ? 保存真實(shí)寄存器狀態(tài)                                 │
│  ? 初始化虛擬寄存器                                   │
│  ? 加載字節(jié)碼指針                                     │
├──────────────────────────────────────────────────────┤
│        Bytecode（自定義字節(jié)碼）                       │
│  0x47 0x12 0x89 0xAA 0x3F 0x91 0x05 ...            │
│  （每次編譯都不同！）                                 │
├──────────────────────────────────────────────────────┤
│            VM Dispatcher（調(diào)度器）                    │
│  while (true) {                                     │
│    opcode = *bytecode_ptr++;                       │
│    jump handlers[opcode];  // 跳轉(zhuǎn)到處理器           │
│  }                                                  │
├──────────────────────────────────────────────────────┤
│         VM Handlers（處理器集合）                     │
│  Handler_0x47:  // 可能是 PUSH                      │
│    vm_stack[++sp] = vm_regs[...];                  │
│    混淆代碼...                                       │
│    return to dispatcher;                           │
│                                                     │
│  Handler_0x12:  // 可能是 ADD                       │
│    vm_regs[a] = vm_regs[b] + decrypt(...);         │
│    垃圾代碼...                                       │
│    return to dispatcher;                           │
│  ...（可能有 50-200+ 個(gè) handlers）                   │
├──────────────────────────────────────────────────────┤
│            VM Exit（虛擬機(jī)退出）                      │
│  ? 恢復(fù)真實(shí)寄存器                                     │
│  ? 返回到未保護(hù)代碼                                   │
└──────────────────────────────────────────────────────┘

// 原始代碼：1條指令
if (serial == 0x12345678) return true;

// 虛擬化后：可能變成 100+ 條等價(jià)操作
vm_reg[0] = decrypt_constant(bytecode[0]);  // 獲取 serial
vm_reg[1] = 0x12;
vm_reg[1] = (vm_reg[1] << 8) | 0x34;
vm_reg[1] = (vm_reg[1] << 8) | 0x56;
vm_reg[1] = (vm_reg[1] << 8) | 0x78;
vm_reg[2] = vm_reg[0] ^ vm_reg[1];
vm_reg[3] = ~vm_reg[2];
vm_reg[3] = vm_reg[3] + 1;
if (vm_reg[3] == 0) vm_flag = 1;
// ... 還有幾十行垃圾指令

原始代碼:
    ADD EAX, 5

變異后（可能變成以下任意一種）:

方式1: 等價(jià)替換
    SUB EAX, -5

方式2: 多步驟分解
    ADD EAX, 3
    ADD EAX, 2

方式3: 加入垃圾指令
    PUSH EBX
    MOV EBX, 5
    ADD EAX, EBX
    POP EBX

方式4: 使用復(fù)雜運(yùn)算
    LEA EAX, [EAX + 5]
    
方式5: 插入無(wú)效代碼
    JMP $+5
    DB 0xE8, 0xFF, 0xFF  // 看起來(lái)像CALL，但跳過(guò)了
    ADD EAX, 5

原始代碼:
    A → B → C → D

平坦化后:
         ┌→ Dispatcher ←┐
         │      ↓       │
         │   switch(state) {
         │   case 1: A; state=3; break;
         │   case 2: C; state=4; break;
         │   case 3: B; state=2; break;
         │   case 4: D; state=0; break;
         │   }         │
         └─────────────┘

原始PE文件結(jié)構(gòu):
┌────────────────┐
│  PE Headers    │
├────────────────┤
│  .text (100KB) │  ← 代碼段
├────────────────┤
│  .data (50KB)  │  ← 數(shù)據(jù)段
├────────────────┤
│  .rsrc (200KB) │  ← 資源
└────────────────┘

        ↓ VMP 加殼處理

加殼后的文件:
┌──────────────────────┐
│  Original PE Headers │  ← 保留原始頭（部分修改）
├──────────────────────┤
│  VMP Loader          │  ← 解密解壓代碼
├──────────────────────┤
│  Encrypted .text     │  ← 加密的代碼段
│  (壓縮 + 加密)        │
├──────────────────────┤
│  Encrypted .data     │
├──────────────────────┤
│  VM Core Engine      │  ← 虛擬機(jī)引擎代碼
├──────────────────────┤
│  Encrypted Bytecode  │  ← 虛擬化后的字節(jié)碼
├──────────────────────┤
│  Anti-Debug Code     │  ← 反調(diào)試模塊
├──────────────────────┤
│  Import Protection   │  ← 導(dǎo)入表保護(hù)
└──────────────────────┘

╔══════════════════════════════════════════════════════════╗
║              VMProtect 2 反調(diào)試技術(shù)大全                   ║
╠══════════════════════════════════════════════════════════╣
║ [硬件層]                                                 ║
║ ? 硬件斷點(diǎn)檢測(cè) (DR0-DR7寄存器)                           ║
║ ? 單步檢測(cè) (Trap Flag)                                  ║
║ ? 性能計(jì)數(shù)器檢測(cè)                                         ║
╠══════════════════════════════════════════════════════════╣
║ [API層]                                                  ║
║ ? IsDebuggerPresent                                     ║
║ ? CheckRemoteDebuggerPresent                            ║
║ ? NtQueryInformationProcess (ProcessDebugPort)          ║
║ ? NtSetInformationThread (HideFromDebugger)             ║
║ ? OutputDebugString 技巧                                ║
╠══════════════════════════════════════════════════════════╣
║ [時(shí)間檢測(cè)]                                               ║
║ ? RDTSC 指令（檢測(cè)時(shí)間差）                               ║
║ ? GetTickCount / QueryPerformanceCounter                ║
║ ? 兩次執(zhí)行間隔異常 → 判定為單步調(diào)試                      ║
╠══════════════════════════════════════════════════════════╣
║ [進(jìn)程/線(xiàn)程檢測(cè)]                                          ║
║ ? 檢測(cè)調(diào)試器進(jìn)程名（OllyDbg.exe, x64dbg.exe等）          ║
║ ? 檢測(cè)調(diào)試器窗口類(lèi)名                                     ║
║ ? 父進(jìn)程檢測(cè)（是否被調(diào)試器啟動(dòng)）                         ║
╠══════════════════════════════════════════════════════════╣
║ [內(nèi)存檢測(cè)]                                               ║
║ ? PEB.BeingDebugged 標(biāo)志檢測(cè)                            ║
║ ? PEB.NtGlobalFlag 檢測(cè)                                 ║
║ ? Heap Flags 檢測(cè)                                       ║
║ ? 校驗(yàn)和檢測(cè)（代碼被修改）                               ║
╠══════════════════════════════════════════════════════════╣
║ [異常處理]                                               ║
║ ? SEH 反調(diào)試（異常處理鏈）                               ║
║ ? VEH 反調(diào)試（向量化異常）                               ║
║ ? INT 3 / INT 2D 檢測(cè)                                   ║
║ ? 故意觸發(fā)異常，檢查處理流程                             ║
╠══════════════════════════════════════════════════════════╣
║ [虛擬機(jī)檢測(cè)]                                             ║
║ ? VMware / VirtualBox 檢測(cè)                              ║
║ ? CPUID 指令檢測(cè)                                        ║
║ ? 虛擬化環(huán)境特征檢測(cè)                                     ║
╚══════════════════════════════════════════════════════════╝

┌─────────────────────────────────────────────────────────────┐
│                    VMProtect 2 脫殼流程                      │
└─────────────────────────────────────────────────────────────┘

階段一：環(huán)境準(zhǔn)備
  ├─ 安裝必要工具
  ├─ 配置反反調(diào)試環(huán)境
  └─ 樣本初步分析
      ↓
階段二：定位 OEP (Original Entry Point)
  ├─ 方法1: ESP定律
  ├─ 方法2: 內(nèi)存斷點(diǎn)
  ├─ 方法3: 最后一次異常
  └─ 方法4: SFX自解壓特征
      ↓
階段三：Dump內(nèi)存鏡像
  ├─ 使用 Scylla / OllyDumpEx
  ├─ 完整dump進(jìn)程內(nèi)存
  └─ 修正 ImageSize
      ↓
階段四：修復(fù)導(dǎo)入表 (IAT)
  ├─ 自動(dòng)搜索IAT
  ├─ 修復(fù)Thunk
  └─ 重建導(dǎo)入表
      ↓
階段五：去虛擬化 (最難！)
  ├─ 識(shí)別VM Entry
  ├─ 分析VM架構(gòu)
  ├─ 提取Handler
  ├─ 反編譯字節(jié)碼
  └─ 重建原始邏輯
      ↓
階段六：修復(fù)與測(cè)試
  ├─ 修復(fù)重定位表
  ├─ 修復(fù)資源
  ├─ 刪除反調(diào)試代碼
  └─ 測(cè)試運(yùn)行

┌──────────────────────────────────────────────────────────┐
│ 工具類(lèi)型          工具名稱(chēng)                  用途           │
├──────────────────────────────────────────────────────────┤
│ 調(diào)試器            x64dbg                   主力調(diào)試        │
│                  OllyDbg 2.01             32位程序備用    │
│                  WinDbg                   內(nèi)核態(tài)調(diào)試      │
├──────────────────────────────────────────────────────────┤
│ 反匯編器          IDA Pro 7.x              靜態(tài)分析        │
│                  Ghidra                   開(kāi)源替代品      │
├──────────────────────────────────────────────────────────┤
│ 反反調(diào)試          ScyllaHide              對(duì)抗反調(diào)試      │
│                  TitanHide                驅(qū)動(dòng)級(jí)隱藏      │
│                  HideOD                   隱藏OllyDbg     │
├──────────────────────────────────────────────────────────┤
│ Dump工具          Scylla                   dump+IAT修復(fù)   │
│                  OllyDumpEx               Olly插件        │
│                  PE-sieve                 內(nèi)存掃描        │
├──────────────────────────────────────────────────────────┤
│ PE工具            CFF Explorer             PE結(jié)構(gòu)查看     │
│                  LordPE                   PE編輯         │
│                  StudPE                   PE分析         │
├──────────────────────────────────────────────────────────┤
│ 去虛擬化          VMPDump (部分有效)       自動(dòng)化工具      │
│                  Code Virtualizer Tools   輔助分析        │
│                  自寫(xiě)腳本                  IDAPython等     │
├──────────────────────────────────────────────────────────┤
│ 監(jiān)控工具          Process Monitor          文件/注冊(cè)表監(jiān)控 │
│                  API Monitor              API調(diào)用監(jiān)控     │
│                  WinAPIOverride           API Hook       │
└──────────────────────────────────────────────────────────┘

1. 安裝 ScyllaHide 插件
   - 下載 ScyllaHide.zip
   - 解壓到 x64dbg\plugins\
   - 重啟 x64dbg
   - 插件 → ScyllaHide → Options
   - 勾選所有反調(diào)試對(duì)抗選項(xiàng)：
     ? NtQueryInformationProcess
     ? NtQuerySystemInformation
     ? NtSetInformationThread
     ? NtClose
     ? OutputDebugString
     ? GetTickCount
     ? ...

2. 配置選項(xiàng)
   - 選項(xiàng) → 首選項(xiàng) → 異常
     ? 忽略所有異常（第一輪）
   - 選項(xiàng) → 首選項(xiàng) → 引擎
     ? 禁用調(diào)試特權(quán)
     ? 保存數(shù)據(jù)庫(kù)

3. 安裝 Scylla
   - 插件 → Scylla → Hide from PEB

原理：
VMP的殼代碼執(zhí)行完后，會(huì)用類(lèi)似 RETN 的指令跳轉(zhuǎn)到OEP
此時(shí)ESP指向的棧位置存放著OEP地址

步驟：
1. x64dbg 加載程序（暫停在系統(tǒng)斷點(diǎn)）

2. 命令行執(zhí)行：
   bp GetProcAddress  // 或者 bp LoadLibraryA
   F9 運(yùn)行

3. 斷下后，在命令行：
   hr esp             // 對(duì)ESP指向的內(nèi)存地址下硬件訪(fǎng)問(wèn)斷點(diǎn)
   
4. F9 繼續(xù)運(yùn)行

5. 程序會(huì)在訪(fǎng)問(wèn)這個(gè)棧地址時(shí)斷下
   觀察此時(shí)的指令，通常是：
   PUSH xxxxxxxx
   RETN              ← 斷在這里
   
6. 單步執(zhí)行 (F7)，會(huì)跳轉(zhuǎn)到一個(gè)新地址
   此時(shí)查看代碼，如果看到：
   - 正常的函數(shù)序言（PUSH EBP; MOV EBP,ESP）
   - 或者開(kāi)始調(diào)用API
   - 代碼段名稱(chēng)變成 .text
   → 這就是 OEP！

7. 記錄當(dāng)前地址，例如：00401000

步驟：
1. 運(yùn)行程序，在 x64dbg 中打開(kāi)內(nèi)存映射 (Alt+M)

2. 找到 .text 節(jié)（代碼段）
   - 名稱(chēng)：.text
   - 權(quán)限：ER-（可執(zhí)行，可讀）
   - 大小：通常最大的可執(zhí)行段

3. 右鍵 → 在反匯編中轉(zhuǎn)到 → 地址
   記錄起始地址，例如：00401000

4. 在命令行設(shè)置內(nèi)存訪(fǎng)問(wèn)斷點(diǎn)：
   bpm 00401000, 1, x    // 在00401000地址，1字節(jié)，執(zhí)行時(shí)中斷
   
5. F9 運(yùn)行，當(dāng)?shù)谝淮螆?zhí)行 .text 段代碼時(shí)會(huì)斷下
   → 這通常就是 OEP 附近

注意：VMP可能會(huì)在OEP前多次訪(fǎng)問(wèn).text段進(jìn)行完整性檢查

原理：VMP使用大量異常作為混淆手段，最后一個(gè)異常通常在OEP附近

步驟：
1. x64dbg → 選項(xiàng) → 首選項(xiàng) → 異常
   - 取消"忽略所有異常"
   - 只保留"忽略INT 3"

2. F9 運(yùn)行，每次異常斷下時(shí)：
   - 查看當(dāng)前位置是否在 .text 段
   - 如果不是，按 Shift+F9 傳遞異常
   
3. 重復(fù)多次后，最終會(huì)停在接近OEP的地方

4. 配合反匯編判斷是否為OEP

特征檢查清單:
? 代碼段名稱(chēng)是 .text 或 CODE
? 可以看到清晰的函數(shù)調(diào)用（CALL API）
? 有正常的函數(shù)序言：
    PUSH EBP
    MOV EBP, ESP
    SUB ESP, xxx
? 或者是 WinMain 的標(biāo)準(zhǔn)開(kāi)頭：
    PUSH EBX
    PUSH ESI
    PUSH EDI
? 附近有字符串引用
? IDA Pro F5能正常反編譯
? 地址接近PE頭中的 AddressOfEntryPoint（但不完全相同）

步驟：
1. 在 OEP 處暫停程序（上一步已找到）

2. x64dbg → 插件 → Scylla

3. Scylla 窗口設(shè)置：
   [*] Attach to: [選擇目標(biāo)進(jìn)程]
   [*] OEP: 00001000    ← 輸入相對(duì)于ImageBase的偏移
   [*] IAT AutoSearch   ← 自動(dòng)搜索導(dǎo)入表
   
4. 點(diǎn)擊 "IAT Autosearch"
   - 如果成功，會(huì)顯示：
     Found IAT: 00402000 (Size: 0x400)

5. 點(diǎn)擊 "Get Imports"
   - Scylla會(huì)分析IAT，列出所有導(dǎo)入函數(shù)
   - 檢查是否有 "invalid" 標(biāo)記的項(xiàng)
   
6. 如果有invalid項(xiàng)：
   - 右鍵 → Cut Thunk
   - 或手動(dòng)修復(fù)

7. 點(diǎn)擊 "Dump"
   - 選擇保存位置，例如：dumped.exe

8. 點(diǎn)擊 "Fix Dump"
   - 選擇剛才保存的 dumped.exe
   - Scylla會(huì)修復(fù)IAT并生成 dumped_SCY.exe

在 OllyDbg 中:
1. 插件 → OllyDumpEx

2. 設(shè)置參數(shù)：
   Base Address: 00400000    ← 從內(nèi)存窗口查看
   Entry Point:  00001000    ← OEP的RVA
   Size:         00050000    ← 從PE頭SizeOfImage獲取
   
3. 勾選選項(xiàng)：
   ? Rebuild Import
   ? Fix Dump
   
4. 點(diǎn)擊 "Dump" 保存

注意：手動(dòng)dump可能需要后續(xù)修復(fù)重定位表

正常程序的IAT:
┌──────────────────────────┐
│ .idata 節(jié)                 │
├──────────────────────────┤
│ Import Directory         │
│  DLL: kernel32.dll       │
│  Thunk Array:            │
│    → CreateFileA         │
│    → ReadFile            │
│    → CloseHandle         │
├──────────────────────────┤
│ IAT (導(dǎo)入地址表)          │
│  0x402000: 76A81234  ← CreateFileA的真實(shí)地址
│  0x402004: 76A85678  ← ReadFile的真實(shí)地址
│  0x402008: 76A89ABC  ← CloseHandle的真實(shí)地址
└──────────────────────────┘

VMP加密后:
┌──────────────────────────┐
│ Import Directory 被破壞   │
│  或指向假數(shù)據(jù)             │
├──────────────────────────┤
│ IAT 被加密/動(dòng)態(tài)生成       │
│  0x402000: 00000000      │
│  運(yùn)行時(shí)才填充真實(shí)地址     │
└──────────────────────────┘

修復(fù)目標(biāo):
重建 Import Directory 和 IAT，使dump出的文件能獨(dú)立運(yùn)行

1. "IAT Autosearch" 原理：
   - 在OEP附近掃描內(nèi)存
   - 查找連續(xù)的、指向DLL代碼段的指針
   - 識(shí)別為IAT

2. "Get Imports" 原理：
   - 讀取IAT中的地址
   - 通過(guò)地址找到對(duì)應(yīng)的DLL模塊
   - 在DLL的導(dǎo)出表中查找函數(shù)名
   - 重建導(dǎo)入表

3. 常見(jiàn)問(wèn)題及解決：
   
   問(wèn)題1: "Found invalid imports"
   原因：某些地址不是真正的API地址
   解決：右鍵 → Cut Thunk (刪除)
   
   問(wèn)題2: "IAT not found"
   原因：IAT被嚴(yán)重混淆
   解決：手動(dòng)搜索
     - 在OEP處下斷點(diǎn)
     - 運(yùn)行程序，觀察哪些API被調(diào)用
     - 在內(nèi)存中搜索這些API的地址
     - 找到IAT的大致范圍后，手動(dòng)指定

工具：IDA Pro + IDAPython

腳本示例：
import idaapi
import idc

def rebuild_iat(start, end):
    """重建IAT"""
    addr = start
    imports = []
    
    while addr < end:
        # 讀取指針
        ptr = idc.get_qword(addr) if idaapi.get_inf_structure().is_64bit() \
              else idc.get_wide_dword(addr)
        
        # 檢查是否指向DLL代碼
        seg = idaapi.getseg(ptr)
        if seg and seg.type == idaapi.SEG_XTRN:
            # 獲取函數(shù)名
            name = idc.get_name(ptr)
            if name:
                imports.append((addr, name))
                print(f"{hex(addr)}: {name}")
        
        addr += 4 if not idaapi.get_inf_structure().is_64bit() else 8
    
    return imports

# 使用
iat_start = 0x00402000  # 手動(dòng)確定的IAT起始
iat_end = 0x00402400    # 手動(dòng)確定的IAT結(jié)束
rebuild_iat(iat_start, iat_end)

特征碼搜索法:
在IDA Pro中搜索以下特征：

特征1: 大量 PUSHFD / PUSHAD (保存寄存器)
60                    PUSHAD
9C                    PUSHFD
...
大量MOV/PUSH操作
...

特征2: 跳轉(zhuǎn)到動(dòng)態(tài)計(jì)算的地址
MOV EAX, [EBP+var_XX]
JMP [EAX*4+table_base]   ← VM Dispatcher

特征3: 大量的RET鏈
RETN
RETN
RETN  ← 每個(gè)Handler結(jié)束都用RETN返回Dispatcher

手動(dòng)識(shí)別：
1. 從OEP開(kāi)始F5查看
2. 如果看到極其復(fù)雜的代碼，無(wú)法理解的嵌套
3. 大量單字節(jié)變量操作
4. 頻繁的函數(shù)調(diào)用但沒(méi)有明顯邏輯
→ 這些都是VM化的代碼

目標(biāo)：理解這個(gè)虛擬機(jī)的"指令集"

┌─────────────────────────────────────────┐
│          VM 架構(gòu)分析清單                 │
├─────────────────────────────────────────┤
│ 1. 虛擬寄存器 (Virtual Registers)        │
│    - 在哪里存儲(chǔ)？（棧上/全局內(nèi)存）       │
│    - 有多少個(gè)？（通常8-16個(gè)）            │
│    - 如何訪(fǎng)問(wèn)？                          │
├─────────────────────────────────────────┤
│ 2. 虛擬棧 (Virtual Stack)                │
│    - Stack Pointer 在哪？                │
│    - PUSH/POP 如何實(shí)現(xiàn)？                 │
├─────────────────────────────────────────┤
│ 3. 字節(jié)碼 (Bytecode)                     │
│    - 存儲(chǔ)位置                            │
│    - 讀取方式                            │
│    - 格式：定長(zhǎng)？變長(zhǎng)？                  │
├─────────────────────────────────────────┤
│ 4. Dispatcher (調(diào)度器)                   │
│    - 入口地址                            │
│    - 解碼邏輯                            │
│    - 跳轉(zhuǎn)表結(jié)構(gòu)                          │
├─────────────────────────────────────────┤
│ 5. Handlers (處理器)                     │
│    - 數(shù)量統(tǒng)計(jì)                            │
│    - 功能分類(lèi)                            │
│    - 參數(shù)傳遞方式                        │
└─────────────────────────────────────────┘

方法：動(dòng)態(tài)跟蹤 + 靜態(tài)分析結(jié)合

x64dbg 腳本示例：
--------------------
// 在 Dispatcher 下斷點(diǎn)
bp 00401234  // Dispatcher地址

// 記錄每個(gè)Handler
var handler_list
log "Opcode, Handler Address"

loop:
    run
    mov eax, [esp]        // 假設(shè)棧頂是返回地址
    mov ebx, [ebp+opcode] // 假設(shè)EBP+offset存放opcode
    log "{ebx}, {eax}"
    esti                  // 執(zhí)行直到返回
    jmp loop
--------------------

輸出示例：
Opcode, Handler Address
0x01, 0x00401500  ← Handler_01
0x02, 0x00401650  ← Handler_02
0x03, 0x004017A0  ← Handler_03
...

然后在IDA中逐個(gè)分析這些地址的代碼

步驟一：提取字節(jié)碼
-----------------
x64dbg內(nèi)存dump：
1. 運(yùn)行到VM Entry后斷下
2. 在dump窗口，找到字節(jié)碼起始地址（通常從某個(gè)寄存器得到）
   例如：EBP+0x100 指向字節(jié)碼
3. 右鍵 → Dump Memory to File
4. 保存為 bytecode.bin

步驟二：編寫(xiě)反編譯器
-------------------
Python示例：

class VMDecompiler:
    def __init__(self, bytecode_file):
        with open(bytecode_file, 'rb') as f:
            self.bytecode = f.read()
        self.pc = 0  # Program Counter
        
        # Handler映射表（需手動(dòng)填充）
        self.handlers = {
            0x01: self.vm_push,
            0x02: self.vm_pop,
            0x03: self.vm_add,
            0x04: self.vm_sub,
            0x05: self.vm_mov,
            0x10: self.vm_cmp,
            0x11: self.vm_jne,
            # ... 更多
        }
    
    def read_byte(self):
        val = self.bytecode[self.pc]
        self.pc += 1
        return val
    
    def read_dword(self):
        val = int.from_bytes(self.bytecode[self.pc:self.pc+4], 'little')
        self.pc += 4
        return val
    
    def vm_push(self):
        val = self.read_dword()
        print(f"PUSH {hex(val)}")
    
    def vm_add(self):
        print("ADD vreg0, vreg1")
    
    def vm_jne(self):
        offset = self.read_dword()
        print(f"JNE {hex(offset)}")
    
    # ... 實(shí)現(xiàn)所有handler
    
    def decompile(self):
        while self.pc < len(self.bytecode):
            opcode = self.read_byte()
            if opcode in self.handlers:
                self.handlers[opcode]()
            else:
                print(f"Unknown opcode: {hex(opcode)}")
                break

# 使用
dec = VMDecompiler('bytecode.bin')
dec.decompile()

輸入：反編譯的字節(jié)碼

PUSH 0x12345678
PUSH [ebp+8]
CALL vm_hash
CMP vreg0, vreg1
JNE fail_label
PUSH 1
RET

輸出：還原的C代碼

int check_serial(char* input) {
    int hashed = vm_hash(input);
    if (hashed == 0x12345678) {
        return 1;
    }
    return 0;
}

然后可以：
1. 用nop掉驗(yàn)證邏輯
2. 或者寫(xiě)注冊(cè)機(jī)（基于還原的算法）
3. 或者直接patch跳轉(zhuǎn)

在IDA Pro中搜索并NOP以下代碼：

1. IsDebuggerPresent
   搜索：CALL IsDebuggerPresent
   替換：NOP x 5

2. 時(shí)間檢測(cè)
   搜索：RDTSC / CPUID
   替換：XOR EAX,EAX (清零結(jié)果)

3. 檢查BeingDebugged
   搜索：MOV AL, [FS:0x30] + 0x02
   替換：MOV AL, 0

4. 異常反調(diào)試
   搜索：INT 3 / INT 2D
   替換：NOP

使用 CFF Explorer:
1. 打開(kāi) dump_fixed.exe
2. Relocation Editor
3. 如果顯示 "No relocations"：
   - 可能需要手動(dòng)重建
   - 或者將ImageBase固定為原始值

手動(dòng)fix (如果必要):
使用 LordPE:
1. PE Editor
2. Section Headers → .reloc
3. 如果損壞，從原始文件復(fù)制.reloc節(jié)

1. 靜態(tài)測(cè)試
   - CFF Explorer 打開(kāi)，檢查PE結(jié)構(gòu)完整性
   - ImportREC 驗(yàn)證導(dǎo)入表
   
2. 沙箱測(cè)試
   - 虛擬機(jī)中運(yùn)行
   - 檢查是否崩潰
   - Process Monitor 監(jiān)控行為
   
3. 功能測(cè)試
   - 主要功能是否正常
   - 是否還有反調(diào)試觸發(fā)
   - 是否有完整性檢查

4. 對(duì)比測(cè)試
   - 與原始程序?qū)Ρ華PI調(diào)用序列
   - 對(duì)比關(guān)鍵算法輸出

目標(biāo)程序：CrackMe_VMP2.exe
保護(hù)方式：VMProtect 2.08
目標(biāo)：繞過(guò)序列號(hào)驗(yàn)證

=======================================
步驟記錄：
=======================================

1. 查殼
   ? PEID: VMProtect 2.0x
   ? DIE: VMProtect 2.08

2. 初步運(yùn)行
   ? 彈出對(duì)話(huà)框："Enter Serial"
   ? 輸入錯(cuò)誤顯示："Wrong Serial!"
   ? 推測(cè)：驗(yàn)證邏輯被VM保護(hù)

3. x64dbg加載 + ScyllaHide
   ? 所有反調(diào)試選項(xiàng)全開(kāi)
   ? F9運(yùn)行，程序正常彈窗
   
4. 定位驗(yàn)證函數(shù)
   方法：API斷點(diǎn)
   ? bp GetDlgItemTextA  // 獲取輸入的API
   ? F9運(yùn)行，在輸入框輸入"test"，點(diǎn)確定
   ? 斷下！

5. 回溯查找驗(yàn)證邏輯
   ? 單步返回(Ctrl+F9)到調(diào)用者
   ? 發(fā)現(xiàn)代碼段：
     CALL GetDlgItemTextA
     LEA EAX, [EBP-0x100]
     PUSH EAX
     CALL 00401234        ← 可疑的驗(yàn)證函數(shù)
     TEST EAX, EAX
     JZ   fail_label
   
   ? 00401234 就是驗(yàn)證函數(shù)入口

6. 分析驗(yàn)證函數(shù)
   ? 跟入 CALL 00401234
   ? 發(fā)現(xiàn)大量混淆代碼：
     PUSH ECX
     PUSH EDX
     MOV EAX, [ESP+8]
     JMP 00405678        ← 跳轉(zhuǎn)到VM Entry!
     
7. 識(shí)別VM Entry
   地址：00405678
   特征：
     PUSHAD
     PUSHFD
     MOV EBP, ESP
     SUB ESP, 0x200
     MOV ESI, [大量初始化]
     ...
     JMP [EAX*4+0x00406000]  ← Dispatcher!

8. 簡(jiǎn)化破解法：爆破跳轉(zhuǎn)
   ? 不去虛擬化了，直接改跳轉(zhuǎn)
   ? 在第5步的代碼處：
     TEST EAX, EAX
     JZ   fail_label    ← 改成 JNZ
   
   ? 使用x64dbg修改：
     選中 JZ 指令
     空格 → 編輯
     改成：JNZ fail_label
     右鍵 → Patch → Patch File
     保存為 CrackMe_VMP2_cracked.exe

9. 測(cè)試
   ? 運(yùn)行 CrackMe_VMP2_cracked.exe
   ? 輸入任意序列號(hào)
   ? 成功彈出："Correct!"

=======================================
總結(jié)：
對(duì)于簡(jiǎn)單目標(biāo)，不需要完全去虛擬化
找到關(guān)鍵跳轉(zhuǎn)直接patch即可
但對(duì)于復(fù)雜的License系統(tǒng)，可能需要完整分析
=======================================

工具1: VMPAttack
- GitHub開(kāi)源項(xiàng)目
- 支持部分VMP版本
- 能自動(dòng)識(shí)別Handler

使用：
python vmpattack.py target.exe --trace --devirt

工具2: Kryptonite
- IDA Pro插件
- 符號(hào)執(zhí)行 + 污點(diǎn)分析
- 半自動(dòng)去虛擬化

工具3: 自己用Unicorn引擎寫(xiě)模擬器
from unicorn import *
from unicorn.x86_const import *

# 模擬VM執(zhí)行
uc = Uc(UC_ARCH_X86, UC_MODE_32)
uc.mem_map(0x00400000, 2 * 1024 * 1024)
uc.mem_write(0x00400000, code)
uc.emu_start(0x00401000, 0x00401234)

VMP的CRC校驗(yàn)：
1. 在運(yùn)行時(shí)計(jì)算代碼段的校驗(yàn)和
2. 與內(nèi)置值比較
3. 不匹配則退出

對(duì)策：
方法1：Hook校驗(yàn)函數(shù)
  bp [校驗(yàn)函數(shù)地址]
  修改返回值為"正確"
  
方法2：修復(fù)校驗(yàn)值
  計(jì)算patch后的新CRC
  在內(nèi)存中搜索舊CRC值
  替換為新值
  
方法3：NOP掉校驗(yàn)代碼
  找到CRC計(jì)算和比較代碼
  全部NOP