总结记录vmp壳基础原理

弋牧 2016-06-15 00:34 4833次浏览 0 条评论生命不休，折腾不止

与传统的加壳工具不同，不是简单的把目标进行压缩、内存解压运行，而是修改目标源码，让目标的部分指令在vmp创建的虚拟环境下运行，虚拟环境中无操作数比较指令、条件跳转和无条件跳转指令；

被修改替换的目标指令最终形成的字节码有前后相关性，即你改变其他任意一个字节会影响到所有被vm虚拟化的指令

vmp的虚拟机其实是一个字节码解释器，循环的读取指令并执行，并且只有一个入口和一个出口

虚假跳转和垃圾指令, vmp会使用大量的虚拟跳转和垃圾指令将原有简单的代码变得复杂

vmp是基于堆栈的虚拟机，虚拟机指令不是显示的读取参数，而是把要使用的参数压入堆栈，而后直接从堆栈中读取

vmp指令

mvp将所有的寄存器都放在一个堆栈的结构vm_context中, 结构中的每一项代码一个寄存器或临时变量

在程序运行过程中, vm_context结构中保存的寄存器不是固定的，每当执行完一个操作或一个指令结构中的项与真实寄存器之间的映射关系会发生变化，就像一个齿轮随机的转动了一下, 转动过后原有的映射关系全部改变了

随机效验比较牛B, vmp会在编译好的字节码中加入自己的一些指令(专属于vmp自动的指令), 每一次执行都会对一段代码随机生成hash值, 然后与另一个随机数相加, vmp要求相加的结果必须为0, 否则会出错.

赞助网站

本站内容均可转载，但需注明出处，部份内容出自互联网，如有侵权联系我删除。