| PlaneJun's Home

VBHeader

2024-01-01 Reverse

...

VMProtect分析-IAT修复

2023-12-10 Reverse

实现代码： GitHub - PlaneJun/VMP-Import-Fix: VMP 3.X decrypt iat GitHub - PlaneJun/vmp_fixiat: fix vmp-iat by unicorn and capstone 一、IAT保护方式原函数调用代码： Text1004018EE FF 15 0C 30 40 00 ...

VMProtect分析-虚拟化流程

2023-12-09 Reverse

一、没有大炮我们自己造首先编写一个简单的程序。 1234567int main(){ int a = 1; a = a + 1; printf("%d\n",a); return 0;} 编译后给程序添加vmp保护壳，这里选择的VMP版本为v3.5.0。保护的函数为main函数，编译类型修改为虚拟。并且关闭一系列保护。编译完成后，可看到程...

VMProtect分析-加载器

2023-12-08 Reverse

分析对象为网上流传的VMP源码源码路径函数名行号 runtime\loader.cc SetupImage 884 1、反调试1.1 用户模式line:17492通过检测PEB->BeingDebugged,常规手段了，没什么好说。然后就是通过NtSetInformationProcess、NtQueryInformationProcess、NtSetInfo...

修复IAT的奇淫技巧

2023-02-19 Reverse

在dump一些驱动样本的时候会遇到这样的情况。这种是要修复导入表的，大多数解决办法就是给dump文件修复导入表，但是这种方式有点弊端。比如说面对的是一段shellcode代码的话就比较繁琐，所以并不适用。最佳解决办法就是把ntoskrnl.exe模块原封不动加载到ida。首先，我们把驱动dump下来后，因为缺少ntoskenl.exe的内存,所以函数调用会变红。所以我们首先是要加载这个内...

Tag: 反混淆