师兄给的看论文的任务，论文地址：https://faculty.ist.psu.edu/wu/papers/vmhunt-ccs18.pdf
前言
文章工作：部分代码虚拟化的检测与还原
因为有些VM
（1）去除了中心loop，用了多线程的方式
（2）设置了许多fake loop
让虚拟化部分代码检测变得困难，于是作者想要用一种更本质的办法，来识别部分虚拟化的代码，并用简洁的formula代表其语义。
文章布局
- 首先要识别虚拟化代码的边界，然后向后分片提取虚拟化代码的kernel
- 然后对于提取的kernel，用多粒度符号化执行的方式将kernel代码转变成一个简洁的公式（并证明了公式的正确性）
证明的时候：多VM，多片段虚拟化；嵌套VM；原始未被混淆的程序；有fake loop的VM…多情况测试
改进：虚拟化代码片段与kernel的size有很大差异；只提取那些 push被使用了的寄存器 的代码
第一部分: 如何识别虚拟化代码的边界 （关注的部分）
利用了部分虚拟化VM的本质，需要在原生环境和虚拟环境之间切换—context switch
save context : push 所有寄存器—> jmp
restore context: pop 所有寄存
最低0.47元/天 解锁文章
2万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
