VMProtect虚拟机保护及还原

虚拟机保护技术

原理：虚拟机保护代码技术是将X86汇编指令转为字节码指令，并且通过字节设计的解释器去执行字节码指令的一项技术，以达到保护原有指令不被轻易逆向和篡改。

VStartVM：虚拟机的入口，主要作用是进入虚拟机，将真实CPU的寄存器信息保存到堆栈，以便于执行虚拟机指令时，访问寄存器信息。

VMDispacther：虚拟机指令调度器，主要作用是获取虚拟机指令（字节码），判断之后执行对应指令。

Handler：虚拟机指令的执行函数。

VMware虚拟机保护的特征：

PUSH XXXX

CALL XXXX

Themida保护的特征：

PUSH XXXX

JMP XXXX

使用VMProtect保护代码(HelloASM)

1、打开VMProtect

2、右键，新建流程：

3、操作三行指令，选择流程末尾：

4、直接加壳：

5、使用OD打开，对比加壳之前的代码

加壳前：

加壳后：

使用IDA查看加壳后的程序

还原：

程序入口：

开始的寄存器和堆栈：

单步进入CALL，右键：

单步跟踪，进入虚拟机，进行分析：

退出虚拟机时，堆栈及寄存器：

相比进入之前，ESP减了8，压入了字符串地址：0x403000、printf地址：0x00405782

指令：

push 0x403000

call [0x402004] 

第二次进入虚拟机之前，寄存器及堆栈环境：

虚拟机中的操作：

退出虚拟机后：

相比进入之前，ESP加了4

指令：add esp，0x4

所以，保护的指令是：

push 0x403000

call [0x402004]

add esp,0x4

总结：观察进入和退出前后，寄存器和堆栈发生的变化，结合虚拟机指令，推出等价的指令，进行还原