记录一次vmp2.xdemo的分析

admin

138643
文章

114
评论

2022年2月9日04:24:09评论128 views字数 3159阅读10分31秒阅读模式

记录一次vmp2.xdemo的分析

本文为看雪论坛优秀文章

看雪论坛作者ID：ookkaa

我用的这个版本应该是2.0几吧，据我所知2.x都一样，虚拟机特征很明显，就是一个大循环，不断的取opcode，下面可以看得到，特别明显，而且定位到这个取指令到handler的过程也很简单。3.x和2.x的差距太大了，3.x大大增加了静态分析的难度。

我这个demo还是采用普通的局部混淆方式。

只要是个vmp2.x的都有mov rdx,[r12+rax*8]这个取handler的指令。
这个其实稍微研究一下就能定位这个指令了。

而且比较奇怪，我这里的vRip是从后往前取的，别人的都是从前往后。

vmp2.x进入的时候还是照常push 寄存器的，因为这里的寄存器是为了执行我们的代码做准备的。

开辟堆栈后，直到开始分配handler，堆栈大致是这么一回事。

这些文字都是前几天的思考过程，大家随便看看。在0x14FE18上面都是vm_context,至于这个名字是别人取的，这里的作用就是虚拟机运算中转，就像x86寄存器一样，计算总得有个放的地方，0x14FE18下面叫vm_stack，也是别人取得名字，作用就是存放真实物理寄存器。

因为据我的分析，

这是其中一个handler，rbp是虚拟机得栈顶，很多地方都看得出来，这是其中一个,执行到这个handler的时候就指向0x14fe18，从虚拟机栈依次还原物理寄存器，这里标志着此次VM退出。因为我们是用VMProtectBegin标记保护的代码块，VM退出之后就会执行我们保护的代码块，因为我们的代码块是肯定对真实x86寄存器操作的，他不退出虚拟机在vm-context中白忙活也没用啊。

后面单步分析是不太现实的，借用一下uniorn。

vPop vR6vPush imm32vAdd immvPop vR16vPop vR3vPop vR14vPop vR13vPop vR10vPop vR5vPop vR21vPop vR9vPop vR15vPop vR23vPop vR7vPop vR2vPop vR18vPop vR11vPop vR0vPop vR12vPop vR20vPop vR17vPop vR4vPop vR8vPop vR22vPush imm64vPush vR6vAdd immvPop vR19vPop vR22vPush imm64vPush vR6vAdd immvPop vR16vPush vR6vPush imm64vAdd immvPop vR16vPush vR4vPush vR17vPush vR20vPush vR12vPush vR0vPush vR11vPush vR18vPush vR2vPush vR7vPush vR23vPush vR15vPush vR22vPush vR21vPush vR5vPush vR10vPush vR13vPush vR14vPush vR6vPush vR5pop all virtual regs to physical regs(vm exited) Physical RIP 1400010b0Physical RCX 140003638vPop vR15vPush imm32vAdd immvPop vR2vPop vR14vPop vR8vPop vR16vPop vR6vPop vR4vPop vR2vPop vR23vPop vR11vPop vR20vPop vR3vPop vR21vPop vR7vPop vR5vPop vR13vPop vR17vPop vR9vPop vR0vPop vR12vPop vR1vPop vR1vPush imm64vPush vR15vAdd immvPop vR10vPush vR12vPush vR0vPush vR9vPush vR17vPush vR13vPush vR5vPush vR7vPush vR21vPush vR3vPush vR20vPush vR11vPush vR23vPush vR2vPush vR4vPush vR6vPush vR16vPush vR8vPush vR19vPush vR23pop all virtual regs to physical regs(vm exited) Physical RIP 14000108bPhysical RCX 1400036382ae6 : call  qword ptr [rip + 0x1164]Failed on uc_emu_start() with error returned 8: Invalid memory fetch (UC_ERR_FETCH_UNMAPPED)