探秘NoVmp：颠覆VMProtect保护的静态反虚拟化工具

最新推荐文章于 2024-09-16 07:46:48 发布

邬筱杉Lewis

最新推荐文章于 2024-09-16 07:46:48 发布

阅读量445

点赞数 4

本文链接：https://blog.csdn.net/gitblog_00011/article/details/138746961

版权

探秘NoVmp：颠覆VMProtect保护的静态反虚拟化工具

NoVmpA static devirtualizer for VMProtect x64 3.x. powered by VTIL.项目地址:https://gitcode.com/gh_mirrors/no/NoVmp

项目介绍

在安全和逆向工程领域中，NoVmp是一个引人入胜的开源项目，它专门针对VMProtect x64 3.x版本进行静态反虚拟化。通过利用VITIL（虚拟机翻译中间语言）库的强大功能，NoVmp能够将受VMProtect保护的代码转换为优化后的VTIL表示，并可选地重新编译回原始的x64二进制文件。这个项目虽然实验性质较强，但作为一个概念验证，其潜力不容小觑。

项目技术分析

NoVmp的核心是解析VMProtect虚拟机中的跳转指令，即使在复杂的代码混淆下也能准确识别。它可以接受未打包的二进制文件作为输入，并且可以处理Scylla等工具产生的内存映像。通过指定 -base 参数来提供原始图像基址，确保反虚拟化的准确性。此外，用户还可以选择关注特定的虚拟化函数，通过 -vms 参数指定相对虚拟地址。

项目还支持自动段发现，如果遇到链式调用问题，可以通过 -sections 参数手动指定VMProtect段名。NoVmp还提供了一些开关选项，如禁用优化 (-noopt)，优化VMProtect Ultra的常量混淆 (-opt:constant)，以及启用实验性的x64编译器 (-experimental:recompile)。