逆向一个简单的拟机-教程.PDFVIP

向一个简单的虚拟机 教程 - Reverser Maximus 获得指令和寄存器 好，今晚太累了，我下载了很多我喜欢的好歌，该是逆向的时间了。 我听人谈起HyperUnpackMe2这个crackme很多次，于是我找到了它。我打开了我的IDA 4.3-是的，我不用破解的那个 工具而已，只是给那些如果没有就什么都做不了的 我打开了这个crakeme 。它使用了很多丑陋的反IDA 的技巧，这需要很多时间使用U快捷 键去取消“跳转/ 函数调用”的指针，然后使用C快捷键，重新定义代码。它隐藏了LoadLibrary 和字符串的指针如“VirtualAlloc”。好了，可 但并不有趣，我要开始看这个虚拟机了。希 望它没有加密，否则我不得不使用OLLY解压脱壳直到虚拟机在代码中呈现出来。 那么，我们如何使用IDA4.3在代码中找到一个虚拟机呢？很简单 使用你的滚动条和最 古老有效的逆向工具 第六感。 我们到底该找些什么呢？我们的“灵感”点在哪里呢？当我浏览aspr 1.2dll 的时候，我发 现在 序列之后的 就是关键所在 它确实是，那么虚拟机呢？一个虚拟机由一个指令 Push RET - 仿真器构成，它通常是一个公共的代码循环跳转到一系列函数和地址。在本例中，我们查找 指针/ 函数列表。是的，这种列表可能是别的东西，例如，对象（obj ects ）也是这样放置的。 我们如何把他们和虚拟机 别开来，或是如果是一个使用高级语言带有对象的虚拟机呢？ 答案很简单，查看这些过程，需找重复的代码格式。例如，如果它们使用相同的参数， 并且这些相同的参数在多个使用它的函数中使用同样的格式，那它可能就是一个虚拟机。就 我个人而言，我总是试着找共有的攻击点，如程序计数器（等效EIP ）。这并不总是简单的事。 如像*F （译者加：可能是一种虚拟机）的binded flow虚拟机通常就非常复杂 （顺便说一下， 你可以使用很多方法来记录）。 让我们回到这个crackme ，滚动屏幕，寻找并跟随那些随机跳转和过程，我们发现一个 有趣的列表，就像下面这样。 ww PDF created with pdfFactory Pro trial version 它看上去是不是有点意思，一个堆满指针的大表。我们查看一下这些多级指针 （第一张 表的链接指向第二张表的头部）的其中一个。 IDA给出了如上一堆数据，当我们使用C键把它们标记为代码后，就会变成 ww PDF created with pdfFactory Pro trial version 有趣吧！在一个异或操作紧跟着一个跳转，我们在所有的这些地方使用快捷键，然后再 看看发生了什么。。。 这些是我最初使用C的位置。查看一下代码，所有的片段都跳到相同的地址，这似乎意 味着所有的片段都有一个相同的收场。 注意它们的第一条指令 在所有的入口均使用了mov ecx, esi这个指令！这不正是相同的 格式