GKLBB

; Delphi 程序的典型 OEP 特征
push ebp
mov ebp, esp
add esp, -0C            ; 棧調整
mov eax, [xxxxxxxx]     ; 模塊句柄
push ebx
push esi
push edi
mov [ebp-04], eax
mov eax, [eax]          ; 系統初始化

# 在以下 API 設置斷點：
- GetModuleHandleA/W
- GetVersion
- GetCommandLineA/W
- GetStartupInfoA/W

; 在代碼段設置內存訪問斷點
bpm 401000, r  ; 代碼段地址

; 觀察棧指針變化，尋找返回主模塊的時刻

; VMProtect 的典型調用模式
call xxxxxxxx           ; 調用 VM 入口
; 后面通常跟有混淆代碼

; 修復方法：
; 1. 跟蹤 call 的目標地址
; 2. 分析 VM 處理函數
; 3. 替換為原始 API 調用

# VMProtect 通常創建的節區：
.vmp0, .vmp1, .vmp2

; 在代碼中查找類似模式：
mov eax, [xxxxxxxx]     ; VM IAT 地址
call eax
; 或
jmp [xxxxxxxx]          ; VM IAT 地址

# 使用工具：
- ImportREC
- Scylla
- 手動構建導入表

# 最佳時機：
1. 到達 OEP 后立即 dump
2. 所有 VM 代碼已解密
3. IAT 修復完成前

# 推薦工具：
- OllyDump (OllyDbg 插件)
- Scylla (內置 dump 功能)
- LordPE
- Process Dump

# 重要設置：
- 保留原始 ImageBase
- 修正 PE 頭
- 保留所有節區
- 不重建導入表（稍后手動修復）

OEP: [找到的 OEP RVA]
ImageBase: [通常是 00400000]

# 在 ImportREC/Scylla 中：
1. 選擇目標進程
2. 輸入 OEP RVA
3. 點擊 "IAT AutoSearch"
4. 點擊 "Get Imports"

# 如果發現無效指針：
1. 手動跟蹤調用鏈
2. 找到正確的 API 地址
3. 刪除無效指針
4. 重新獲取導入

# 最終步驟：
1. 修復轉儲文件
2. 選擇剛才 dump 的文件
3. 保存修復后的可執行文件

; VMProtect 1.70 的調用特征可能包括：
; 模式 1：直接調用
call 00xxxxxx

; 模式 2：寄存器間接調用
mov eax, 00xxxxxx
call eax

; 模式 3：內存間接調用
call dword ptr [00xxxxxx]

# 對于每個 VM IAT 條目：
1. 設置硬件斷點
2. 跟蹤實際調用的 API
3. 記錄 API 名稱和模塊
4. 重建導入描述符

# 解決方案：
1. 嘗試不同的 API 斷點
2. 使用堆棧跟蹤方法
3. 分析 Delphi 啟動例程特征

# 解決方案：
1. 手動添加缺失的 API
2. 使用 ARImpRec.dll 輔助識別
3. 分析調用鏈找到正確地址

# 檢查項目：
1. OEP 是否正確
2. 導入表是否完整
3. 節區對齊是否正確
4. 資源是否可訪問

# VMProtect 1.70 的已知特性：
1. 相對簡單的虛擬機
2. 有限的 anti-dump 技術
3. 標準的 API 鉤子方式
4. 可預測的代碼變形模式

# 使用腳本輔助：
1. 自動記錄 API 調用
2. 批量修復 VMCall
3. 生成導入表模板