python 编译成exe vmp加密_[分享]某vmp壳原理分析笔记

某vmp壳原理分析笔记

分析的样本为某数字公司最新免费壳子。之前的壳子已经被很多大佬分析了，这篇笔记的主要目的是比较详细的分析下该vmp壳子的原理，数字壳子主要分为反调试，linker，虚拟机三部分。笔记结构如下：

反调试

时间反调试

rtld_db_dlactivity反调试

traceid反调试

端口反调试

linker部分：用来加载第二个so

装载

创建soinfo

链接

dump second so

虚拟机部分：解释执行保护的代码

dump dex

onCreate分析

虚拟机入口

准备部分

因为懒得hook系统函数，每次过反调试就要手工更改寄存器的值，所以用IDAPython来模拟手工调试，下面是一些辅助函数，其中addBrk根据模块名和偏移地址下断点，fn_f7, fn_f8, fn_f9分别模拟f7, f8, f9.

def getModuleBase(moduleName):

base = GetFirstModule()

while (base != None) and (GetModuleName(base).find(moduleName) == -1):

base = GetNextModule(base)

if base == None:

print "failed to find module: " + moduleName

return None

else:

return base

def addBrk(moduleName, functin_offset):

base = getModuleBase(moduleName)

AddBpt(base + functin_offset)

def fn_f7():

idaapi.step_into()

GetDebuggerEvent(WFNE_SUSP | WFNE_SUSP, -1)

def fn_f8():

idaapi.step_over()

GetDebuggerEvent(WFNE_SUSP | WFNE_CONT, -1)

def fn_f9():

idaapi.continue_process()

GetDebuggerEvent(WFNE_SUSP | WFNE_CONT, -1)

def delBrk(moduleName, function_offset):

base = getModuleBase(moduleName)

DelBpt(base + function_offset)

反调试

时间反调试

反调试的第一处就是时间反调试，在反调试的开始调用time获取时间，在结束再调用一次time，当差值大于3就会触发反调试。因为使用脚本过反调试，所以两次时间差肯定是小于3的，所以只是用脚本简单的输出时间就可以了。0x19FC是time在libjiagu.so的plt段地址。

#add breakpoint at time

addBrk("libjiagu.so", 0x19FC)

fn_f9()

delBrk("libjiagu.so", 0x19FC)

print("first call time")

lr = GetRegValue("LR")

AddBpt(lr)

fn_f9()

r0 = GetRegValue("R0")

DelBpt(lr)

print("first get time: %x" % (r0))

rtld_db_dlactivity反调试

rtld_db_dlactivity函数：这个函数默认情况下为空函数，这里的值应该为0，而当有调试器时，这里会被改为断点指令，所以可以被用来做反调试。libjiagu.so的sub_1E9C就是用来查找rtld_db_dlactivity函数的地址的。sub_1E9C的代码就不贴了。过这个反调试我们就可以在sub_1E9C返回后，获取到rtld_db_dlactivity的地址，然后将其修改为nop指令0x46C0。

#add breakpoint at sub_1E9C

addBrk("libjiagu.so", 0x1E9c)

fn_f9()

delBrk("libjiagu.so", 0x1E9c)

print("call sub_1E9C")

#add breakpoint at return from sub_1E9C

lr = GetRegValue("LR")

AddBpt(lr)

fn_f9()

DelBpt(lr)

#get rtld_db_dlactivity address

r0 = GetRegValue("R0")

print("rtld_db_dlactivity address is: %x" % (r0 - 1))

#set rtld_db_dlactivity nop

PatchDword(r0 - 1, 0x46c0)

tracepid反调试

tracepid反调试:当我们使用Ptrace方式跟踪一个进程时，目标进程会记录自己被谁跟踪。过tracepid反调试可以在调用strtol后，将其返回值修改为0.

#add breakpoint at strtol

addBrk("libjiagu.so", 0x1A80)

fn_f9()

delBrk("libjiagu.so", 0x1A80)

print("call strtol")

lr = GetRegValue("LR")

#add breakpoint at return from strtol

AddBpt(lr)

fn_f9()

DelBpt(lr)

r0 = GetRegValue("R0")

print("get trace id: %x" % (r0))

SetRegValue(0, "R0")

端口反调试

检测IDA的默认端口23946是否被占用,通过跟踪，可以发现sub_6DD0()函数判断23946端口是否被占用。原理就是查看/proc/net/tcp，过端口反调试，就可以通过更改sub_6DD0的返回值。

#add break point at sub_6DD0

addBrk("libjiagu.so", 0x6DD0)

fn_f9()

lr = GetRegValue("LR")

print("call sub_6DD0")

delBrk("libjiagu.so", 0x6DD0)

AddBpt(lr)

fn_f9()

SetRegValue(0, "R0")

DelBpt(lr)

时间反调试

在反调试的最后还会调用一次time，计算差值，因为使用脚本过得，所以时间差值肯定小于3，这里只是简单输出一下时间

#add break point at time in sub_6EF8

addBrk("libjiagu.so", 0x19FC)

fn_f9()

delBrk("libjiagu.so", 0x19FC)

print("second call time")

lr = GetRegValue("LR")

AddBpt(lr)

fn_f9()

DelBpt(lr)

r0 = GetRegValue("R0")

print("second get