VMP分析之VMP2.13插件化分析(四)

文章目录

Zeus插件
- 相关介绍
- 初始化Key并解密
- 加载操作码
- 解密操作码
- 取handler
- 解密handler
- 进入handler
- 保存堆栈
- 指令流解密Key
VMP分析插件
- 相关介绍
- VM分析插件的使用
- 插件化分析VM代码
- VM指令集说明
FKVMP
- 相关介绍
- 使用方法
VMSweeper
- 相关介绍
- 使用方法

Zeus插件

初始化Key并解密

           InitKey Decode :
0042D0EF   add     esi, 92e49d49
0042D0F8   bswap   esi
0042B8C2   ror     esi, 1d

加载操作码

           Load PCode:
0042B907   0042B907 mov     al, byte ptr [esi]

解密操作码

0042B90A   sub     al, bl
0042C1F5   not     al
0042C1FC   inc     al
0042C209   not     al
0042B847   sub     bl, al

取handler

           Dispatch Table :
0042B85A   0042B85A mov     ecx, dword ptr [eax*4+42d503]Dispatch Base : 0042D503Dispatch Reg  : ecx

解密handler

           Handler Decode :
0042BF29   sub     ecx, 7eef2a8d
0042BF30   add     ecx, 0

进入handler

           Handler Entry :
0042B39F   0042B39F retn    40

保存堆栈

           VM Initial Info:[+00] <- 00000000  RELOC[+01] <- 00000000  ANTIDUMP[+02] <- 0019FE8C  esi[+03] <- 0019FED8  ebp[+04] <- 003AB000  ebx[+05] <- CCCCCCCC  eax[+06] <- 003AB000  ebx[+07] <- 00000000  ecx[+08] <- 0019FED8  edi[+09] <- 022C0F90  edx[+0A] <- 00000202  EFL[+0B] <- 502585E5  RETADDR[+0C] <- 92766AB7  INITDATA

指令流解密Key

           VMInitKey          : 92766AB7VMDecodeKey        : 0042D928VMOpcodeStart      : 0042D928
0042D928   VMEipStart         : 0042D928VMOpcode Direction  : ↑

接着给出了VM初始化的Key和解密后的Key。解密后的Key和指令流开始地址和vmEip实际上是一个东西。

VMP分析插件

VM分析插件的使用

还是之前的Demo程序，首先执行到进入虚拟机开始的位置

然后右键选择分析虚拟机

在log窗口可以看到分析结果，这一步会帮我们分析出VM的解码循环和每一个handler的作用。

然后选择分析虚拟程序

这一步会分析出VM的堆栈和vmEip

配置插件，打开所有的分析选项

插件化分析VM代码

按F9会自动进入到虚拟机分析窗口，到了这个窗口，就可以基于VM指令集进行单步调试了，不需要一个一个handler进去分析。

如果没有到这个窗口，说明进入虚拟机分析窗口失败。拦截失败就无法拦截OD原先的单步指令，不能直接调试，建议换个OD。

VM指令集说明

打开编译虚拟指令信息

每一条VM的指令在这里都可以看到等价的汇编指令和详细注释

FKVMP

使用方法

在虚拟机入口处右键->FKVMP->start即可

在log窗口可以看到所有解析出来的handler指令

以及初始化压栈的寄存器顺序也会打印出来。

这个插件的缺点是只支持单一的基本块，每次分析到 SetEIP 指令（实际就是跳转指令）就会停止，需要人工操作，去分析下一基本块

VMSweeper

使用方法

直接载入被VMP加壳的程序，不需要手动跳转到VM虚拟机的入口

点击Plugins -> VMPSweeper -> Analyze all VM reference

这里会自动识别出代码断和VM区段的起始和结束地址，然后点击Analize

弹出窗口选要分析的 VM，右键 Decode VM

出现这个提示后，会自动在虚拟机的入口下断点，在断点窗口可以看到

这个插件有自己的VM入口识别算法，所以不需要自己跳转到VM入口。接着按F9运行到VM入口处后，按F1进行分析

分析完成后，会弹出提示框重新运行进程。重新运行后， Plugins -> VMPSweeper -> Continue decode VM。继续分析。

如果分析没有产生任何异常，VMPSweeper 会把还原后的代码 Patch 到原本的虚拟机入口处

但上述过程经常出错，可以在 OD 根目录下查找 VMS_xxx 文件夹，查看日志文件，*.log 文件中保存着还原的过程输出。

我这里也没有完全分析成功，但是在VMS文件夹下可以看到上面几个文件

按照文件名提示，很明显是保存的是VM虚拟机的寄存器和堆栈状态

该工具是少见的可以将 VMProtect 保护代码进行完整还原的工具，缺点是稳定性太差，对于稍复杂的程序，还原过程很大可能会出现异常报错。我这里测试的是VM2.13版本分析失败。