Vmprotect 驱动加壳踩坑

1. 慎用压缩选项

当驱动有导出函数时，需慎用压缩选项。系统并不一定会调用模块的入口函数，导致没解压就访问导出函数。此时很大概率导出函数所在地址不可访问，或内容奇异。

2.绝逼不要启用COMDAT折叠

该选项会将内容完全相同的函数就保存一份，一般情况下也不会出现内容完全相同的函数。但是当使用

__try

{
 xxxxx
}

__except(1)

{
xxxxx
}

时，__except(1)中的1 会被编译器翻译成一个返回1的函数，这个自动生成的函数想必不会少。当vmp加密使用__try __except的函数时，会修改这个返回1的函数,试了几个版本的vmp，发现都是将这个函数全写成了0xcc。这会导致其他没被保护的函数发生异常时，异常不能正确的处理。正常函数会发生异常时会调用这个0xcc，然后再异常，然后再0xcc.... 直到堆栈用完后蓝屏，错误代码7f(double fault)。

说起这个double fault，大部分情况都是栈被用完了...