VMProtect的逆向分析和静态还原
软件逆向分析介绍
通过对软件的逆向分析，可以了 解软件的来源和开发团队，为软 件取证提供依据。
02
分析软件功能
03
判断软件是否合法
通过对软件的逆向分析，可以了 解软件的功能和行为，为软件取 证提供证据。
通过对软件的逆向分析，可以判 断软件是否合法，是否存在侵权 行为。
软件知识产权保护
保护软件创新
通过对软件的逆向分析，可以了解软件的实现方 式和创新点，为软件知识产权保护提供依据。
Ghidra
交互式反汇编
Ghidra提供交互式反汇编界面，用户可以实时查看反 汇编代码、寄存器状态、内存布局等信息。
自动化分析
Ghidra支持自动化分析，可以对反汇编代码进行语义 化处理，提取函数、变量、控制流等信息。
插件扩展
Ghidra支持插件扩展，用户可以根据自己的需求开发 插件，提高软件逆向分析的效率。
Hopper
动态分析
Hopper支持动态分析，可以对正在运行的程序进行实时监控和修 改，方便分析人员了解程序的行为。
交互式调试
Hopper提供交互式调试界面，用户可以实时查看寄存器状态、内 存布局、堆栈信息等，方便调试和排错。
反编译
Hopper支持反编译功能，可以将机器码转换为高级语言代码，方便 分析人员理解程序逻辑。
Radare
轻量级
Radare2是一个轻量级的软件逆向分析工具， 占用资源少，运行速度快。
多平台支持
Radare2支持多种操作系统平台，如Windows、 Linux和Mac OS等。
插件扩展
Radare2支持插件扩展，用户可以根据自己的需求开发插件，提高软件逆向分 析的效率。
06 总结与展望
CHAPTER
脱壳方法总结
脱壳方法总结1. 引言在软件开发和逆向分析领域，脱壳（Unpacking）是指将一个已经被加密或保护的可执行文件还原到其原始状态的过程。
通过脱壳，分析人员可以获取被加密或保护的文件的源代码、算法、关键函数等信息，从而进行后续的逆向工程分析。
本文将总结几种常见的脱壳方法，并介绍它们的原理和使用场景。
2. 静态脱壳方法静态脱壳方法是指在不运行程序的情况下，通过对加密或保护的文件进行静态分析，还原出原始的可执行文件。
2.1. 字节码分析字节码分析是通过对加密或保护的文件进行二进制分析，识别出不同的加密算法或保护机制，从而还原出原始文件。
常见的字节码分析工具有IDA Pro、Radare2等。
2.1.1. IDA ProIDA Pro是一款功能强大的反汇编工具，可以用于对二进制文件进行逆向分析。
通过加载被加密或保护的文件，IDA Pro可以在图形界面下显示程序的反汇编代码。
通过对代码进行分析，可以识别出不同的加密算法或保护机制，从而编写相应的解密脚本。
2.1.2. Radare2Radare2是另一款强大的反汇编工具，它以命令行形式提供了一系列功能，可以对二进制文件进行静态分析。
通过使用Radare2的命令，可以查看程序的反汇编代码，识别出加密或保护机制，并编写相应的解密脚本。
2.2. 调试器调试器是一种用于运行和调试程序的工具，通过对加密或保护的文件进行动态分析，可以观察程序的行为，从而还原出原始文件。
常见的调试器有OllyDbg、GDB等。
2.2.1. OllyDbgOllyDbg是一款运行在Windows平台上的调试器，它可以用于对可执行文件进行动态分析。
通过加载被加密或保护的文件，OllyDbg可以以汇编代码的形式显示程序的执行过程。
通过逐步执行程序，并观察寄存器、堆栈等信息的变化，可以找到解密过程中使用的关键函数和算法。
2.2.2. GDBGDB是一款开源的调试器，可以运行在多种平台上，如Linux、macOS等。
逆向分析复习要点
1.windows平台的各种典型调试工具及应用的场景；1、二进制查看工具Winhex/Ultraedit/exeScope（文件结构解析）2、二进制查壳工具PEID/LordPE/DIE（Detect It Easy ，linux也能用）/IDA手动分析识别加密壳zprotect、识别压缩壳UPX。
LordPE官方版是一款集PE文件分析、修改、脱壳功能于一体的PE文件工具3、静态分析工具Windows：IDA（R3）and plungins（插件）与Vmware联动，调试程序。
与Qemu联动，调试固件。
4、动态分析工具Windows：OllyDbg（R3）、WinDbg（R0）Linux：gdb（R3）、kgdb（R0）VM image（虚拟机）：Vmware、VirtualBox、Qemu。
注：应用调试为 R3，内核调试为 R0。
5、非主流工具符号执行：Angr、Z3污点跟踪：Pin、Valgrind、TraintDroid模糊测试：FileFuzz、AFL、Trinity、PeachAndroid专用：apktool、Dex2JAR、JD-GUI、SMALI/BAKSMALI固件专用：Qemu（动态模拟环境）、KVM（底层虚拟化环境）固件调试方案IDA+QemuKVM只模拟CPU和内存，因此一个客户机操作系统可以在宿主机上跑起来，但是你看不到它，无法和它沟通。
于是，有人修改了QEMU代码，把他模拟CPU、内存的代码换成KVM，而网卡、显示器等留着，因此QEMU+KVM就成了一个完整的虚拟化平台。
KVM只是内核模块，用户并没法直接跟内核模块交互，需要借助用户空间的管理工具，而这个工具就是QEMU。
KVM 和QEMU相辅相成，QEMU通过KVM达到了硬件虚拟化的速度，而KVM则通过QEMU来模拟设备。
2.各种典型的查壳工具名称及对应的用途；ExeInfoPE：查壳程序.它至今依然被更新，可以查看32/64位PEiD(PE Identifier)是一款著名的查壳工具，只能查看32位应用程序LoadPE/DIE（Detect It Easy ，linux也能用）/IDA手动分析3.虚拟化环境的搭建过程中涉及的步骤、原理、工具名称；内核调试需要使用一台计算机用于被调试，另一台计算机用于使用调试器来调试前面所述的计算机。
逆向工程与漏洞分析方法
逆向工程与漏洞分析方法近年来，随着信息技术的迅猛发展，网络安全问题备受关注。
在网络世界中，恶意攻击、黑客入侵等各种威胁层出不穷。
逆向工程和漏洞分析方法成为应对这些威胁的重要手段。
逆向工程是指对现有的软件、硬件、网络协议等进行解剖和分析的过程，旨在理解其内部机制、运行逻辑和漏洞。
逆向工程的核心是“反向”，即从输出结果逆推回原始的设计和实现。
逆向工程的目标包括理解软件的工作原理、还原设计方案以及发现潜在安全漏洞等。
逆向工程的方法多种多样，其中之一是静态分析。
静态分析是在不运行软件的情况下，通过分析源代码或机器代码的特征来判断程序的行为和功能。
静态分析的优点是能够全面分析程序的逻辑结构，避免了动态分析的时间和空间约束。
静态分析的主要工具包括反汇编器、反编译器和调试器等。
反汇编器是静态分析中最基本的工具之一，它能够将目标代码转化为易于阅读和分析的汇编代码。
通过反汇编可以获得程序的结构、执行路径以及调用关系等信息，从而深入了解程序的实现细节。
反编译器是将目标程序的机器代码还原为高级语言代码的工具。
反编译器通过识别汇编代码的模式、特征和语法规则，将其转换为高级语言代码，提升了程序的可读性和理解性。
反编译器在逆向工程中起到了很重要的作用，使人们能够更加方便地分析和修改软件。
调试器是一种能够进一步深入分析程序行为的工具。
通过调试器，可以观察程序的运行状态、变量的值以及函数的调用过程。
调试器提供了断点、单步执行、内存查看和修改等功能，帮助人们定位问题和发现潜在的漏洞。
除了静态分析外，动态分析也是逆向工程的重要方法之一。
动态分析是在运行时监测程序的行为和状态，通过观察和分析运行时数据来揭示程序的内部机制和漏洞。
动态分析的工具多种多样，包括函数跟踪器、网络抓包工具和模糊测试工具等。
函数跟踪器是一种能够记录程序执行轨迹和函数调用关系的工具。
通过函数跟踪器可以观察函数的执行顺序、参数传递和返回值等，帮助人们了解程序的整体结构和逻辑。
计算机技术中的逆向工程方法介绍
计算机技术中的逆向工程方法介绍逆向工程是计算机技术中一种重要的方法，它被广泛用于软件分析、恶意软件检测、数据恢复和安全性评估等领域。
本文将介绍逆向工程的概念、方法和应用，并探讨其在计算机技术中的重要性。
逆向工程的概念逆向工程是一种通过分析和理解已经存在的系统来推导出其设计和实现方式的方法。
在计算机技术领域中，逆向工程通常用于分析软件程序、固件或硬件设备，以便了解其内部工作原理和功能实现方式。
逆向工程可以帮助开发人员理解别人已经开发的程序，也可以用于检测和修复已有软件的漏洞。
逆向工程的方法逆向工程的方法包括静态分析和动态分析两种。
静态分析主要是针对程序的二进制代码，通过反汇编和反编译来分析程序的逻辑结构和算法实现。
动态分析则是在程序运行时监测程序的行为，通过断点调试、内存分析和消息监视等技术来获取程序的执行流程和运行时状态。
在静态分析中，反汇编是一种常用的方法，它将二进制代码转化为汇编指令，以便程序员能够理解和分析程序的执行流程和逻辑结构。
反编译则是将二进制代码转化为高级程序设计语言，如C或C++，以便程序员能够更容易地理解和修改程序。
在动态分析中，断点调试是一种常用的方法。
通过在程序中设置断点，当程序执行到断点时，调试器会暂停程序的执行，程序员可以检查程序的变量值、内存状态和调用栈等信息。
内存分析则是通过监视程序的内存访问情况，来追踪和分析程序对内存的使用情况。
消息监视是一种通过监视程序的输入和输出消息来分析程序的行为，例如监视网络通信消息或文件IO消息，以便了解程序的数据流和交互过程。
逆向工程的应用逆向工程在计算机技术中有着广泛的应用。
其中，逆向工程可以帮助软件开发人员理解和修改已有的软件程序。
例如，当某个软件的源代码丢失或不可用时，开发人员可以通过逆向工程的方法来分析和理解程序的功能和实现方式，以便对其进行修复或改进。
逆向工程也可以用于对软件进行评估和安全性分析，发现其中的漏洞和脆弱性。
另外，逆向工程在恶意软件分析和病毒检测方面也有重要的应用。
反编译技术与软件逆向分析
反编译技术与软件逆向分析在计算机领域中，反编译技术和软件逆向分析是两种常用的技术方法，用于破解、修改或者了解未公开源代码的软件。
1.反编译技术：反编译技术是指将已编译的二进制代码转换为高级语言的过程。
当一个软件的源代码不可获得或者已经丢失时，反编译技术能够帮助开发人员进行软件维护或者逆向工程。
反编译技术可以将二进制代码转换为汇编代码，或者进一步转换为高级语言代码，如C或C++等。
通过反编译，开发人员可以了解到软件的内部工作原理、算法、逻辑等。
反编译技术在软件逆向工程、漏洞挖掘、安全审计等领域都有广泛的应用。
2.软件逆向分析：软件逆向分析指的是通过对已编译的二进制代码进行分析和研究，以获得对软件内部结构和功能的了解。
软件逆向分析一般包括静态分析和动态分析两种方法。
静态分析是指对已编译的二进制代码进行反汇编、反编译或者代码查看等操作，在代码层面上对软件进行分析和理解。
静态分析通常可以通过查看代码逻辑、数据结构、算法等来了解程序的内部工作原理。
静态分析的工具包括反编译器、调试器、反汇编器等。
动态分析是指在运行时对程序进行监控和分析，以获得程序的行为和状态信息。
动态分析可以通过调试器、动态插桩等技术手段来实现。
动态分析可以获取程序的运行轨迹、函数调用关系、输入输出数据等信息，可以帮助分析程序的执行流程和逻辑。
软件逆向分析的应用包括软件漏洞挖掘、恶意代码分析、软件保护等。
通过逆向分析，可以检测和修复软件中的安全漏洞，提高软件的安全性；可以分析和拆解恶意软件，了解其攻击行为和传播方式，为防御提供基础；可以分析和破解软件的保护机制，如破解软件许可证、绕过软件的时间限制等。
总结来说，反编译技术与软件逆向分析是计算机领域中常用的技术方法，用于破解、修改或者了解未公开源代码的软件。
这些技术可以帮助开发人员进行软件维护、逆向工程和漏洞挖掘等工作。
但值得注意的是，逆向工程和破解行为会侵犯软件的知识产权和法律规定，因此在进行这些操作时需要遵守相关法律法规。
浅析VMP 浅析VMP
VMSweeper分析.一基本使用最近,有一位牛人发布了一个比较有意思的插件,我们一起看一下其中一些好玩的东西。
既然有大牛放血，那我就顺便给没有追踪过VM的同学扫扫盲。
（本文对应插件更新至VMSweeper1.4 beta 8）由于我并没有源码，很多东西都是靠猜了，如果有什么地方说的不对，请各位多多指教。
这个插件的下载地址是/showthread.php?t=13084这个插件有些东西还没有完善,因此经常会出错,我运行了几个程序,都没有一个能正常运行完的,不过这并不阻碍我们了解程序的大体思想。
在看这篇无聊的文章之前首先你要明白VMProtect的基本架构，因为追踪和还原VM有一部分是和VM的架构相关的。
安装后打开一个VMP加密的程序，然后点击VMSweeper首先要选Analyze all VM references接着填写相关的参数,这里的Code start 和 Code end 指定代码段的起始和结束VM start 和 VM end指定vm段的起始和结束,还有一个要注意的是要把区段名改为VM。
为什么要填这些参数呢，我在《VMProtect逆向分析》里讲过了，因为入口的指令特征被抹除掉了，目前比较好的识别入口算法就是查找Code段的所有JMP指令，然后检查是否JMP到VM段内，再做一些特征的校验(陷阱校验)。
还有一个就是判断VM内部数据和退出VM的识别，这些都需要VM段的界限。
填写好了之后，会列出VM的入口新版的VMSweeper已经自动获取段界限，不用手动输入了。
接着就可以Decode VM了，这时看到在VM的入口下了一个断点，当断点命中的时候按F1进行分析。
进行分析后弹出一个框后要求重新打开程序，这里正常的话应该是重启，然后进行patch。
二.初始化状态重新打开程序，我们来看一下刚刚VMSweeper做了些什么。
打开OD的目录，你会发现多了一个以程序名称命名的目录，打开它，会看到一些文件。
微通新成_网银安全保护控件测试报告
1.1 过程描述
个组对版本库的操作权限。被测方提供《微通新成软件开发版 本管理制度》 ，其中具体描述了软件版本管理流程。 被测方承诺产品和升级补丁包都经过大量完整的测试， 同 时要求客户在部署升级补丁包前在测试环境进行测试， 验证通 过后再正式部署到实际系统中。 测试员通过访谈和文档审核等方式， 认为被测方建立了较 完善的软件版本管理体系。 风险等级 无可预见风险 代码安全审核流程 安全控件厂商应该对其开发人员的安全编程技能进行培 测试要求 训。 安全控件发布前应进行严格的代码安全测试。 被测方声明会定期对开发部门的员工进行安全培训， 加强
控制编号：BCTC-3BAH-03
第 9 页 共 14 页
银行卡检测中心
编号：SCAP122701TP
b.通过 NtQuerySystemInformation 查询 c.使用 kernel32!CloseHandle API 函数 3）使用 VMProtect 工具所提供的反调试功能 测试员认为送检的控件具有良好的动态调试防护能力，能 够有效防护当前常见的动态调试手段。 风险等级 无可预见风险 程序篡改防护能力 测试要求 安全控件应该防范攻击者通过篡改磁盘文件、 动态修改内 存代码等方式控制程序的行为。 测试员检查了送检的控件，发现该控件使用了数字签名。 测试员通过修改送检控件的磁盘文件、 内存代码等方式篡 改控件可执行代码后，被测控件不能正常工作，并进行了安全 2.3 过程描述 提示。因此，测试员认为被测控件进行了程序篡改防护。 考虑到送检的安全控件具有良好的静态和动态防逆向能 力，并使用了程序代码动态解压和虚拟机执行技术，测试员认 为绕过程序校验需要攻击者对控件进行高强度的逆向分析并 编写汇编代码注入，难度很大，对攻击者的技术水平和耐心都 有较高要求。 风险等级 3 无可预见风险 敏感信息保护能力测试 键盘记录防护能力 安全控件应该防范攻击者通过用户态程序挂钩键盘消息 测试要求 相关分发函数、轮询键盘按键状态、获取键盘原始输入等方式 获得用户在安全控件中输入的内容。 3.1 测试员使用以下手段对送检控件的键盘记录防护能力进 行了测试： 过程描述 SendMessge(WM_GETTEXT) SetWindowsHook/SetWindowsHookEx GetKeyState
逆向的一般流程
逆向的一般流程逆向工程的一般流程逆向工程是指通过分析和研究已有的产品、系统或软件，以了解其内部结构、功能和工作原理的过程。
逆向工程作为一种技术手段，在软件开发、产品设计和安全评估等领域都有广泛的应用。
本文将介绍逆向工程的一般流程，以帮助读者更好地理解和应用这一技术。
一、收集信息逆向工程的第一步是收集相关的信息。
这包括获取待逆向分析的产品或软件的相关文档、资料和样本文件等。
通过研究这些信息，可以对待逆向分析的目标有一个初步的了解，为后续的分析工作做好准备。
二、静态分析静态分析是逆向工程的核心环节之一，它主要通过对目标程序的二进制代码进行分析来了解其内部结构和功能。
静态分析可以使用多种工具和技术，如反汇编、反编译和代码静态分析工具等。
通过对目标程序的静态分析，可以得到其函数调用关系、数据结构和算法等重要信息，为后续的动态分析提供基础。
三、动态分析动态分析是逆向工程的另一个重要环节，它主要通过运行目标程序并监控其行为来了解其工作原理和运行机制。
动态分析可以使用调试器、模拟器和监控工具等。
通过动态分析，可以观察目标程序的运行过程，获取其输入输出数据、内存状态和系统调用等信息，帮助理解其功能和逻辑。
四、逆向设计逆向设计是逆向工程的一个重要目标，它通过分析和理解目标程序的内部结构和功能，以重新设计或改进产品、系统或软件。
逆向设计可以包括修改程序代码、优化算法、改进用户界面等。
通过逆向设计，可以提高产品的性能、功能和易用性，从而满足用户的需求。
五、文档撰写逆向工程的最后一步是撰写相关的文档和报告。
这些文档可以包括逆向分析的过程、结果和发现等。
撰写文档的目的是为了记录逆向工程的过程和成果，方便后续的查阅和分享。
同时，文档也可以作为逆向工程的成果和证据，用于产品改进、知识传承和法律维权等方面。
逆向工程的一般流程包括收集信息、静态分析、动态分析、逆向设计和文档撰写等步骤。
通过按照这个流程进行逆向工程，可以更加系统和有序地进行分析和设计，从而提高工作效率和成果质量。
VMP_使用手册
VMProtect中文版使用指南VMProtect是新一代的软件保护系统，不像市场上其它常见的保护软件，VMProtect可以修改软件产品的源代码，转换部分代码为在虚拟机上运行的字节码（bytecode）。
您可以将虚拟机想象成为带有不同于Intel8086处理器系统指令的虚拟处理器。
例如，虚拟机没有比较两个操作数的指令，也没有条件跳转和无条件跳转指令等等。
这样一来，破解者就需要开发一整套的解析引擎来分析和反编译字节码，以现有的解密理论，破解者想要还原出源代码几乎是不可能的。
•支持的编译器：Delphi,Borland C Builder,Visual C/C++,Visual Basic(Native),Virtual Pascal•支持的文件格式：EXE,DLL&SYS（32位和64位）•支持的操作系统：Windows95/98/Me/NT/2000/XP/2003/Vista使用方法一：手动指定需要加密的代码这种方法需要您对汇编语言有一定的了解，要懂一些跟踪技术，可以用调试器如OllyDbg跟踪到程序需要保护的地址，然后手动添加地址到VMProtect里。
下面以一个Delphi编译的小程序Stub.exe来说明：运行VMProtect后，打开Stub.exe后点击转储标签，会看到如下窗口：其中地址：004045FC就是入口地址，VMProtect会自动暂停在该地址，我们就以加密该地址为例说明。
选中您需要加密的地址（本例是入口地址004045FC），点击按钮或菜单项目→新建→新建流程…（快捷键Ctrl+Ins）后，会弹出如下对话框：地址004045FC已经被自动填入，换成其它地址也是这样。
点击确定后，我们会看到该流程里所有可以加密的节点都已经列出来了，如图所示：这时只需点击按钮或按快捷键F9即可实现加密保护；要添加其它保护地址，也依此类推。
方法二：使用SDK加密标识Marker用调试器获得加密地址的操作过程比较专业，也不太方便，新版本的VMProtect已经支持在编程的时候预先插入一个加密标识。
反编译技术与软件逆向分析
反编译技术与软件逆向分析反编译技术和软件逆向分析是一种获取和理解计算机程序源代码或函数实现细节的方法。
这种技术可以用于安全审计、恶意代码分析、软件保护和破解等领域。
本文将详细介绍反编译技术和软件逆向分析，并分析其优缺点以及在实际应用中的一些常见技术和工具。
一、反编译技术反编译是指将目标程序的二进制代码转换回可读的高级语言代码的过程。
目标程序的二进制代码通常是由编译器将高级语言代码编译成机器码生成的，而反编译技术可以将机器码重新转换回高级语言代码，从而提供可读性更强的代码供研究和分析。
反编译技术主要包括以下几个方面：1.静态分析：静态分析是对目标程序的二进制代码进行静态分析，提取其中的控制流信息、变量信息以及各种语义信息。
这一过程通常是通过对目标程序进行符号执行或数据流分析来实现的。
2.逆向工程：逆向工程是指通过对目标程序进行反汇编和反编译等技术，研究和重建目标程序的结构、功能和逻辑。
逆向工程不仅可以用于理解目标程序的原理和实现细节，还可以用于修复漏洞、增加功能或者提高性能等。
3.动态分析：动态分析是通过执行目标程序来获取运行时的信息，如内存状态、寄存器值、函数调用栈等。
与静态分析相比，动态分析可以更准确地获取目标程序的运行时行为和状态信息。
4.代码反混淆：代码反混淆是指通过分析目标程序的混淆机制和混淆算法，将混淆后的程序转换回原始的可读代码的过程。
代码反混淆可以帮助安全研究人员更好地理解和分析混淆后的程序。
5.符号执行：符号执行是一种将程序执行路径用符号化表示的方法，通过在程序执行过程中收集约束条件，从而生成约束求解方程。
符号执行可以用于程序验证、自动化测试以及漏洞挖掘等领域。
软件逆向分析是指通过对目标软件进行逆向工程和分析，获取软件的运行机制、实现细节以及可能存在的漏洞和安全风险。
软件逆向分析主要包括以下几个方面：1.代码审计：通过对软件源代码或反汇编代码进行评估和分析，查找其中的漏洞和安全问题。
介绍下加壳识别壳破壳的方法
介绍下加壳识别壳破壳的方法加壳是指在软件应用程序中，使用一种技术将其原始代码进行保护和加密，以防止非法复制、修改或逆向工程。
加壳技术可以对应用程序进行多种不同的保护措施，例如加密，混淆，虚拟机等，使得破解者难以破解原始代码。
然而，加壳也带来了为开发者和研究人员分析应用程序带来的困难，因此，识别和破解加壳成为了逆向工程的一个重要领域。
在识别壳并进行破壳的过程中，可以采用多种方法和技术。
下面将介绍一些常见的加壳识别与破壳方法。
1. 静态分析：静态分析主要是通过分析目标应用程序的可执行文件，以了解其结构和特征，从而确定是否使用了加壳技术。
常用的静态分析工具包括IDA Pro、OllyDbg等。
静态分析的过程中，可以查看应用程序的导入表、导出表、标题信息等，通过对这些信息的分析，可以判断是否存在加壳行为。
2. 动态调试：动态调试是指在应用程序运行的过程中，通过调试器对其进行动态分析。
动态调试可以帮助分析人员观察程序的执行过程、内存变化、寄存器状态等，从而判断是否存在加壳行为。
常用的动态调试工具包括OllyDbg、WinDbg等。
3.特征匹配：加壳工具通常会在目标应用程序中插入一些特征代码或指令，用于解密和执行加壳后的代码。
通过分析这些特征代码的存在与否，可以判断目标程序是否加壳。
例如，一些加壳工具会在代码中插入字符串或控制流混淆指令，通过检测这些特征代码的存在，可以识别加壳壳。
4.元数据检测：一些加壳工具会修改目标应用程序的元数据信息，例如PE文件头中的相关字段。
通过比较目标程序的元数据信息与原始程序的差异，可以判断是否存在加壳行为。
5.虚拟机检测：一些加壳工具使用了虚拟机技术，将原始代码转化为虚拟指令集，以增加破解难度。
通过动态执行目标应用程序，并对其执行过程进行监测和分析，可以检测虚拟机指令的存在，并进一步破解加壳。
6. Dump内存：一旦确定目标程序使用了加壳技术，可以通过Dump 内存的方式，将内存中的加壳代码和解密数据导出到磁盘上。
逆向研发的技巧
逆向研发的技巧逆向研发是指将已有的软件、硬件或固件进行逆向分析，以了解其工作原理、解密密钥或修改功能。
以下是逆向研发的一些常用技巧：1. 静态分析：通过查看二进制文件的代码、结构和数据，以及使用反汇编器和调试器等工具，来理解软件的执行逻辑和数据流。
可以使用逆向工程工具和脚本来辅助分析。
2. 动态分析：通过运行软件，并使用监视工具、调试器和代码覆盖率工具等来观察其运行时行为，以获取更多信息。
可以使用模拟器和虚拟机来隔离和分析软件。
3. 扫描和分析网络流量：通过监控网络通信并对流量进行分析，可以了解软件与其他系统的交互，以及可能存在的漏洞和安全问题。
4. 反编译：将二进制文件转换为高级语言代码，以便更好地理解程序的功能和实现方式。
反编译工具可以将汇编语言代码转换为C、C++或其他高级语言代码。
5. 软件漏洞挖掘：通过分析软件的代码和输入验证过程，以发现可能的安全漏洞和潜在的攻击面。
可以使用模糊测试、符号执行和漏洞扫描工具等来辅助漏洞挖掘。
6. 代码重构和修改：通过分析软件的结构和功能，可以对代码进行修改和重构，以满足特定需求或改善性能。
使用源代码编辑器和调试器等工具可以实现这一点。
7. 反汇编和汇编：将机器码转换为汇编语言代码，以更深入地理解程序的运行方式和指令流程。
可以使用逆向工程工具和编译器来完成这项工作。
8. 嵌入式系统逆向：对于嵌入式软件和固件，需要了解芯片架构、通信协议和硬件接口等相关知识。
使用调试器和硬件调试工具可以更好地理解和分析嵌入式系统。
需要注意的是，逆向研发有时可能涉及法律和伦理问题，因此在进行逆向研发之前应该遵守相关法律法规，确保自己的行为合法合规。
如何进行恶意代码的代码还原(十)
恶意代码是指被设计用来对计算机系统进行破坏、窃取信息或者其他恶意活动的计算机程序。
随着网络技术的发展，恶意代码的威胁越来越大，给个人用户和企业带来了巨大的损失。
为了保护自己的系统安全并追踪恶意代码的来源，进行恶意代码的代码还原成为了一项重要的技术。
一、恶意代码的危害和识别恶意代码常常具有隐藏性和多样性的特点，从而给系统带来严重的威胁。
恶意代码可以窃取用户的个人隐私信息、导致系统崩溃、加密用户文件并勒索等等。
因此，了解恶意代码的类型和识别方法是进行代码还原的前提。
在识别恶意代码时，我们可以通过静态分析和动态分析两种方法。
静态分析主要是通过对程序的字符、代码和文件结构等进行查看和分析，来判断是否包含恶意代码。
而动态分析则是在一个安全的环境下运行恶意代码，并观察其行为和效果，从而判断其是不是恶意代码。
这两种方法的结合使用可以提高恶意代码的识别率。
二、恶意代码的代码还原流程在对恶意代码进行代码还原之前，需要了解恶意代码的工作原理、特征和算法等。
这样有利于我们在还原过程中更好地理解恶意代码的逻辑和功能。
在实际操作过程中，可以按照以下步骤进行恶意代码的代码还原。
1. 提取恶意代码首先需要将恶意代码从受感染的系统中提取出来，可以利用反病毒软件对系统进行扫描并找出恶意代码的位置。
然后将恶意代码提取出来，存放在安全的环境中进行分析。
2. 逆向工程接下来需要进行逆向工程的过程，这包括对恶意代码的反汇编、反编译和反混淆等操作。
通过逆向工程可以还原恶意代码的源代码和程序逻辑，从而更好地理解其功能和特征。
3. 代码还原在进行代码还原时，可以利用相关工具和技术对经过逆向工程得到的代码进行还原和分析。
这要求我们对相关编程语言和计算机系统有一定的了解和经验，能够理解并还原恶意代码中复杂的程序逻辑和功能。
4. 分析工作在完成代码还原之后，需要进行详细的分析工作。
这包括对恶意代码的功能、目标、传播途径和攻击方式等进行分析。
通过这些分析可以更好地了解恶意代码的特征和威胁，从而采取相应的安全措施保护自己的系统。
VMProtect的逆向分析和静态还原
VMProtect的逆向分析和静态还原Bughoho目录一．VMProtect逆向分析（一）VMP简单介绍（二）VMP逆向分析1.执行流程图全貌2.VMP的Handler3.VMP指令分类4.逻辑运算指令5.寄存器轮转6.字节码加密和随机效验7.阶段总结二．VMProtect静态跟踪（一）虚拟执行特点（二）执行引擎的虚拟执行（三）分析条件跳转的两条出边三．字节码反编译（一）中间表示语言（二）指令化简和优化（三）转换汇编指令——树模式匹配（四）归类映射寄存器（五）转换汇编指令——动态规划（六）寄存器染色1.基本块内的寄存器轮转2.基本块间的寄存器轮转3.寄存器的二义性问题4.识别寄存器的二义性的步骤VMProtect的逆向分析和静态还原一.VMProtect逆向分析一. VMProtect逆向分析（一）VMP简单介绍VMProtect是一款虚拟机保护软件，是目前最为流行的保护壳之一，与其他类型保护软件不同的是，它使用的是虚拟机保护技术，侧重点在于保护所指定的函数，增加逆向分析的复杂度虚拟机保护特征1.将由编译器生成的本机代码(Native Code)转换成字节码(Bytecode)2.将控制权交由虚拟机，由虚拟机来控制执行3.转换后的字节码非常难以阅读，增加了破解的复杂性一.VMP逆向分析流程图(A) VMProtect Demo版本graph.demo.pdf虚拟机其实就是一个字节码解释器，它循环的读取指令并执行，并且它只有一个入口和一个出口(vm_exit)。
通过静态分析，我们可以分析出整个执行引擎的完整代码一.VMP逆向分析(B) Vmprotect Professional 版本流程图所有选项全部开启后的结果虚假跳转垃圾指令大量的fake jcc（虚假跳转）和垃圾指令使原来十分简单的代码变得非常复杂一.VMP逆向分析(C) 清理了垃圾分支并做了伸直化处理后的结果设定一些规则，将虚假分支清除后，流程图就跟原来一样清晰了。
vmp壳基础原理
vmp壳基础原理VMP壳：是⽤来保护关键的代码段的⼀种加密壳原理：抽出局部代码，转变为中间码，虚拟机引擎对中间码进⾏解释，替代CPU解释执⾏代码，然后跳转回源地址，每次执⾏都解释执⾏⼀次代码，虚拟机有⼀套⾃⼰的反编译算法去解释执⾏代码:⽐如mov = 0xe8 ebx = 02 eax = 01 mov ebx，eax 被虚拟机解释执⾏为 e8 02 01注意：这套虚拟机对应的反编译算法是根据程序的不同随机的产⽣脱VMP壳：在⽤⾃⼰的反汇编引擎分析出来，达到解密的效果原理：把虚拟机执⾏的代码，在⽤⾃⼰的反汇编引擎分析出来，达到解密的效果虚拟机句柄的概念：某⼀类的机器码某⼀类的机器码mov，add，等其他指令不同的解释执⾏代码VMP壳加密代码调⽤过程：1 虚拟机申请⼀块内存（可能在堆，可能在栈），保存寄存器环境，中间码执⾏后的结果保存到申请内存的寄存器中，执⾏完后，把寄存器的环境赋值给真正的寄存器，相当于中间码被cpu执⾏了VMP堆栈图ebp 保存中间码栈环境esp 保存虚拟机环境的栈环境补充：1 中间码和虚拟机引擎都会放在代码段下⾯2 虚拟机的分类：栈式虚拟机- 所有操作数通过出栈⼊栈进⾏操作, 优点：中间码体积⼩，缺点：执⾏代码效率低中间码： add eax0, ebx0 虚拟机：push eax0 push ebx0 pop ecx pop edx add ecx, edx mov eax0, ecx push ecx注意：中间码的寄存器带个0典型代表： java，lua5.0以前是栈式虚拟机寄存器式虚拟机 - 所有操作数通过内部寄存器操作，优点：执⾏代码效率⾼缺点：中间码的体积⼤有⼀块内存，相当于⾃⼰的寄存器，reg0 - reg16中间码：add eax0, ebx0 虚拟机： mov reg0, eax0 //reg0 reg1 等寄存器是虚拟机在堆中或栈中模拟的寄存器 mov reg1, ebx0 add reg0, reg1 mov eax0, reg0典型代表： lua5.0以后，davik(android 5.0)寄存器式虚拟机jit - just in time ，即时编译, 将中间码翻译成机器码执⾏典型代表： .net， android art， java现在版本vmprotect。
CommVault针对VMware虚拟环境的备份解决方案
CommVault针对VMware虚拟环境的备份解决方案我们知道，对于用户来说，无论IT系统的需求如何改变，要求如何提高，其最核心的两大需求是永远不变的――那就是服务的可用性以及数据的安全性。
目前，随着虚拟化技术的不断成熟，越来越多的用户开始采用或正在考虑采用VMware虚拟化解决方案来实现整合及动态管理服务器并且有效控制TCO的目的。
然而在数据的安全性方面，如何实现服务器虚拟化以后的数据保护依然是用户关注的重点。
是选择使用VMware虚拟化解决方案提供的备份工具？还是选择采用第三方专业的数据保护软件？又或者双管齐下双剑合璧才是更好的选择？本期我们就来探讨一下CommVault SIMPANA7.0产品在VMware服务器虚拟化环境中的数据保护解决方案。
一、标准客户端备份/恢复方案由于一台VMware虚拟机基于虚拟化硬件提供了完整的客户操作系统，在逻辑上和功能上与一台实际的物理服务器并无差别。
因此，我们可以直接采用CommVault SIMPANA7.0产品的标准客户端备份/恢复方式，对虚拟机进行数据备份/恢复等动作，实现对数据的保护。
从以上的示意图中我们可以看到，通过在虚拟机中安装相应的Backup iDataAgent，CommVault SIMPANA7.0 产品将各虚拟机看成物理的备份代理服务器，然后对虚拟机中的文件和应用数据进行备份，备份数据流通过LAN到达备份介质。
同样的，在数据恢复的时候，恢复数据流也是通过LAN从备份介质中恢复。
这种标准客户端备份/恢复方式的主要优点在于，备份颗粒度能够深入到文件级别，相对于将整个虚拟机打包进行备份的方式，能够将对操作系统的备份剥离出去，避免了备份时间窗口和备份存储资源的浪费，自然也就相应缩短了恢复的时间。
同时，这种方式还能充分保证备份数据的一致性，更适用于对数据库等相关应用进行备份。
另外由于这种方式属于传统的备份方式，因此比较容易为用户所接受，在部署和维护上也没有太大压力。
vmp壳特征
vmp壳特征
VMP壳是一种用于保护软件程序的壳，它可以对程序进行加密和混淆，增加程序的安全性和防止被逆向工程。
VMP壳具有以下特征：1. 加密和混淆：VMP壳使用高级加密算法对程序进行加密，使其难以被破解。
同时，它还会对程序进行混淆，使程序的逻辑和结构变得复杂，增加了逆向工程的难度。
2. 防调试和反动态分析：VMP壳可以检测并阻止调试器的运行，防止黑客通过调试程序来破解。
它还可以检测虚拟机和沙箱环境，并采取相应的措施来阻止动态分析。
3. 虚拟机保护：VMP壳使用虚拟机技术来运行被保护的程序，这使得程序的执行路径变得复杂而且难以预测。
虚拟机还可以对程序进行加密和解密，进一步增加了破解的难度。
4. 异常处理和代码插入：VMP壳会在被保护程序中插入一些异常处理代码，用于检测和处理可能的攻击和破解行为。
它还可以在程序中插入一些无关的代码，增加程序的复杂性，使破解者难以找到真正的关键代码。
5. 资源保护：VMP壳可以对程序的资源文件进行加密和压缩，防止被恶意篡改或盗用。
它还可以对程序的关键数据进行保护，防止被非法访问或修改。
6. 兼容性和性能：VMP壳对被保护程序的兼容性和性能影响较小。
它可以与各种编程语言和开发工具配合使用，并且在程序运行时对性能的影响较小。
使用VMP壳可以有效保护软件程序的安全性，防止被逆向工程和破解。
然而，VMP壳并非绝对安全，仍然存在被攻击和破解的可能性。
因此，在使用VMP壳时，还应该采取其他安全措施，如加密算法、数字签名和授权认证等，以提高软件的整体安全性。
同时，开发者也应该及时关注VMP壳的更新和漏洞修复，以保持软件的最新安全性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
虚拟机保护特征 1. 将由编译器生成的本机代码 (Native Code)转换成字节码 (Bytecode) 2. 3. 将控制权交由虚拟机,由虚 拟机来控制执行 转换后的字节码非常难以阅 读,增加了破解的复杂性
(A) VMProtect Demo版本 流程图
一. VMP逆向分析 逆向分析
graph.demo.pdf
一. VMP逆向分析 逆向分析
4.逻辑运算指令 逻辑运算指令
Vmp中的逻辑运算只有一条指令 中的逻辑运算只有一条指令:nor.这个指令在电路门中叫NOR门,它 .这个指令在电路门中叫 门 中的逻辑运算只有一条指令 由三条指令组成, 由三条指令组成,即not not and, , 门一样, 与NAND门一样,用它可以模拟 门一样 用它可以模拟not and xor or这四条逻辑运算指令 这四条逻辑运算指令 转换公式 : P(a,b) = ~a & ~b not(a) = P(a,a) and(a,b)= P(P(a,a),P(b,b)) or(a,b) = P(P(a,b),P(a,b)) xor(a,b)= P(P(P(a,a),P(b,b)),P(a,b))
一. VMP逆向分析 逆向分析
3.VMP指令分类 指令分类
汇编指令在转换到虚拟机的指令体系的过程中,被最大限度的化简和归类了, 汇编指令在转换到虚拟机的指令体系的过程中,被最大限度的化简和归类了,VMP中的 中的 指令大体分五类: 指令大体分五类: 1. 算术运算和移位运算 2. 堆栈操作 3. 内存操作 4. 系统相关(无法模拟指令) 系统相关(无法模拟指令) 5. 逻辑运算 其中最复杂的是逻辑运算指令 其中最复杂的是逻辑运算指令
calchash
一. VMP逆向分析 逆向分析
7.阶段总结: VMP作者的原则 最简单的正向设计 导致最困难的逆向分析
VMProtect的逆向分析和静态还原 的逆向分析和静态还原
二.VMProtect静态跟踪 静态跟踪
二. VMProtect静态跟踪 静态跟踪
(一)虚拟执行特点
1. 2. 虚拟执行是静态分析与动态执行的一个折中办法 虚拟执行时对内存访问做了一定的控制以防止出现异常
VMP是基于堆栈的虚拟机(Stack-Based VirtualMachine) 是基于堆栈的虚拟机( 是基于堆栈的虚拟机 ) 虚拟机指令并不显式的使用某个参数,而是先将参数压入堆栈, 虚拟机指令并不显式的使用某个参数,而是先将参数压入堆栈,然后直接从堆栈中读取 表达式: 表达式: Add eax,ecx 可以翻译为: 可以翻译为: Push ecx Push eax Add Pop eax 无论push进来的是谁,Add指令总是读取并弹出堆栈中存放的值, 进来的是谁, 指令总是读取并弹出堆栈中存放的值, 无论 进来的是谁 指令总是读取并弹出堆栈中存放的值 然后Add算出结果再压入堆栈. 算出结果再压入堆栈. 然后 算出结果再压入堆栈
Instruction Decrypt
Handler 1
Data decrypt 1
Handler 2
Data decrypt 2
Handler N
….
一.VMP逆向分析 逆向分析
但是HOOK的方式得解决代码检测的问题,VMP 的方式得解决代码检测的问题, 但是 的方式得解决代码检测的问题 注册版除了会加密字节码以外, 注册版除了会加密字节码以外,还会随机对一段 代码做检测,如果有错将无法运行. 代码做检测,如果有错将无法运行. VMP注册版中有一条叫指令( calchash),就 注册版中有一条叫指令( ),就 注册版中有一条叫指令 ), 是用来做检测的. 是用来做检测的.VMP会在编译好的字节码中加 会在编译好的字节码中加 一些自己的指令, 一些自己的指令,每次执行都会随机对一段代码 生成一个Hash结果,然后与另一个随机的数相加 结果, 生成一个 结果 结果必须为0,否则就会出错. ,结果必须为 ,否则就会出错.如果要爆破或者 修改VMP的代码,还需要处理这个过程. 的代码, 修改 的代码 还需要处理这个过程.
活跃变量分析
Stk0 = Ctx24 Skt1 = Ctx10 Stk2,EFL1 = Add.d Stk0,Stk1 Ctx28 = EFL1 Ctx30 = Stk2 Stk3 = Ctx30 Stk4 = 1111 Stk5,EFL2 = Add.d Stk3,Stk4 Ctx28 = EFL2 Ctx34 = Stk5
VMProtect的逆向分析和静态还原 的逆向分析和静态还原
Bughoho
目录
一. VMProtect逆向分析 逆向分析 (一)VMP简单介绍 简单介绍 (二) VMP逆向分析 逆向分析 1. 执行流程图全貌 2. VMP的Handler 的 3. VMP指令分类 指令分类 4. 逻辑运算指令 5. 寄存器轮转 6. 字节码加密和随机效验 7. 阶段总结 VMProtect静态跟踪 VMProtect静态跟踪 (一)虚拟执行特点 (二)执行引擎的虚拟执行 (三)分析条件跳转的两条出边 字节码反编译 (一)中间表示语言 (二)指令化简和优化 转换汇编指令——树模式匹配 (三)转换汇编指令 树模式匹配 (四)归类映射寄存器 转换汇编指令——动态规划 (五)转换汇编指令 动态规划 (六)寄存器染色 1. 基本块内的寄存器轮转 2. 基本块间的寄存器轮转 3. 寄存器的二义性问题 4. 识别寄存器的二义性的步骤
三.字节码反编译 字节码反编译
a. b. 允许读写静态内存与堆栈内存 忽略其他内存访问与修改
解决了异常问题后, 解决了异常问题后,就可以从入口点一直虚拟执行到出口了
记录得到的字节码日志
二. VMProtect静态跟踪 静态跟踪
(二)执行引擎的虚拟执行
分析虚拟机的一般传统方法 找到关键位置 动态执行并使用记录断点记录数 据 输出记录日志 优点: 寻找关键位置时间相对较短 缺点: 多路径时只能走其中一条路径 分析多个虚拟机时要重复做相同 的工作 虚拟执行方法 虚拟执行代码 根据已分析字节码灵活控制代码 流程 输出记录日志 优点: 虚拟执行不会对系统造成任何伤 害 完整的字节码流程 缺点: 指令正确但操作数的值不可靠 复杂度较高,开发时间较久
R1 R2
R3
R4 R5
一.VMP逆向分析 逆向分析 6.字节码加密和随机效验
VMP把解码算法分布到了 把解码算法分布到了Dispatch和每个 把解码算法分布到了 和每个 Handler中,只有在取指令和取数据时才会解密 中 而每个解码的算法也都是不同的, ,而每个解码的算法也都是不同的,并且它的 Seed每次解密都会变化的. 每次解密都会变化的. 每次解密都会变化的 要写出字节码的逆算法不是不可以, 要写出字节码的逆算法不是不可以,但是复杂度 太高,有些得不偿失.所以如果想要修改数据, 太高,有些得不偿失.所以如果想要修改数据, 还是使用HOOK的方式比较轻松. 的方式比较轻松. 还是使用 的方式比较轻松 Dispatch table
去掉了对堆栈的依赖, 去掉了对堆栈的依赖,转为直接关联变量 表达式被转换成了SSA(静态单赋值)形式,方便对指令做优化处理 表达式被转换成了 (静态单赋值)形式,
三.字节码反编译 字节码反编译 (二)指令化简和优化
常数收缩
Push 1A2FBCA0 Push F80499D8 Add.d Pop EFL Push 12345678
去除中间变量后
Ctx30,Ctx28 = Add.d Ctx24, Ctx10 Ctx34,Ctx28 = Add.d Ctx30,1111
去除无用变量后
Ctx30 = Add.d Ctx24,Ctx10 Ctx34,Ctx28 = Add.d Ctx30,1111
删除无关代码
VMP在生成的字节码中夹杂了一些自己的指令流,这些指令与原汇编代码没有任何关系,且对还原分析没有任何好处,只会起到干扰的 作用.需要根据特征制定一些规则来识别这些垃圾指令.
二. VMProtect静态跟踪 静态跟踪
(三)分析条件跳转的两条出边
因为虚拟执行是不依赖运行时信息的, 因为虚拟执行是不依赖运行时信息的,所以它无法 判断应该走哪一条,必须把两条边都走过一遍. 判断应该走哪一条,必须把两条边都走过一遍.
在基本块( 在基本块(BasicBlock)执行前备份运行时环境 ) 执行到跳转处分析指令流, 执行到跳转处分析指令流,获得修改路径关键点 退回基本块起始位置 重新执行并控制路径 基本块 虚拟机 跳转指令
一. VMP逆向分析 逆向分析
(C) 清理了垃圾分支并做了伸直化处理后的结果
设定一些规则,将虚 假分支清除后,流程 图就跟原来一样清晰 了.如果再清除掉垃 圾指令,几乎就跟 demo版本的代码一 样 经过清理之后,新的 流程图分析起来难度 将会降低很多.
一. VMP逆向分析 逆向分析
2.VMP的Handler 的
NOR闸 闸
一.VMP逆向分析 逆向分析 5.寄存器轮转 寄存器轮转
VMP将所有寄存器都存放在了堆栈的结构中(VM_CONTEXT), 将所有寄存器都存放在了堆栈的结构中( 将所有寄存器都存放在了堆栈的结构中 ), R0 结构中的每一项代表一个寄存器或者临时变量. 结构中的每一项代表一个寄存器或者临时变量. 但在运行过程中, 但在运行过程中,其中的项所映射的真实寄存器都是不固 定的,可以把它比作一个齿轮,每做完一个动作, 定的,可以把它比作一个齿轮,每做完一个动作,部分项 R7 的映射就互换了一下位置,或者执行完一段指令, 的映射就互换了一下位置,或者执行完一段指令,齿轮就 按不固定的方向和度数转动一下, 按不固定的方向和度数转动一下,然后全部的项映射就改 变了. 变了. R6 VMP在生成字节码的过程中,维护了一份结构中每一项所 在生成字节码的过程中, 在生成字节码的过程中 映射的真实寄存器,但这只存在于编译过程,而在运行时 映射的真实寄存器,但这只存在于编译过程, 是没有明确的信息的.这直接导致了分析和识别的难度. 是没有明确的信息的.这直接导致了分析和识别的难度.