VMProtect使用小计【二】 – 加壳查看

Release

我这里使用的是Release的版本,Debug的版本分析没有多少的必要,因为程序发布过之后就是Release的,我们先看一下这个文件
VMProtect使用小计【二】

原程序分析

使用OD打开VMProtectDemo1.exe原版程序
因为在我们的程序使用到了MessageBox,所以这里我们就下bp MessageBoxW断点。为什么是MessageBoxW这是因为我刚开始是用的VS2008生成的默认工程,默认工程是Unicode的程序,所以这里就断MessageBoxW
VMProtect使用小计【二】

运行程序

使用F9运行程序,让程序跑起来,这时会断到我们的MessageBoxW的断点上,我们按Alt+F9返回到用户代码。

013D1000 >/$ 68 B8213D01    PUSH OFFSET VMProtec.??_C@_0BH@NEBMIKLA@>;  ASCII "VMProtec Tag By Sollyu"
013D1005  |. FF15 B0203D01  CALL DWORD PTR DS:[<&VMProtectSDK32.VMPr>;  VMProt_1.VMProtectBeginVirtualizationLockByKey
013D100B  |. 6A 40          PUSH 40                                  ; /Style = MB_OK|MB_ICONASTERISK|MB_APPLMODAL
013D100D  |. 68 D0213D01    PUSH OFFSET VMProtec.??_C@_1BE@GCDIBBA@?>; |Title = "By:Sollyu"
013D1012  |. 68 E4213D01    PUSH OFFSET VMProtec.??_C@_1CA@BBLPMEIO@>; |Text = "VMProtect Test."
013D1017  |. 6A 00          PUSH 0                                   ; |hOwner = NULL
013D1019  |. FF15 A4203D01  CALL DWORD PTR DS:[<&USER32.MessageBoxW>>; \MessageBoxW
013D101F  |. FF15 AC203D01  CALL DWORD PTR DS:[<&VMProtectSDK32.VMPr>;  VMProt_1.VMProtectEnd

可以很清除的看到我们的MessageBoxW
VMProtect使用小计【二】

保护程序分析

使用OD分析

原程序分析一样,下bp MessageBoxW断点,F9运行调试
当执行到MessageBoxW的时候,我们可以发现完全不是我们想要的代码了,而且出现了错误调试。
VMProtect使用小计【二】
我们可以在VMProtect找到这段文本的说明,首先要开启专家模式
VMProtect使用小计【二】
可以看到这是在说文件损坏,禁止调试的一种
VMProtect使用小计【二】

IDA分析

使用OD动态调试不行,我们在使用IDA看一下效果。这里是两个程序的对比图
原程序
VMProtect使用小计【二】
保护程序
VMProtect使用小计【二】
可以看到,已经改的面目全非了。

转载于:https://www.cnblogs.com/vcerror/p/4289045.html

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值