[KCon 2016]0827_6_何潇潇_VMProtect 的一次奇妙之旅.pdf

VMProtect的一次奇妙之旅 何潇潇@永信至诚 CONTENTS VMProtect是什么 VMProtect背后的原理 还原VMProtect的方法 演示还原 总结 VMProtect是什么? VMProtect是世界上最强大的二进制代码保护软件之一，是由俄 罗斯人开发的，至今没有人公开声称对其完全破解。 8/27/16 2:30PM 2 VMProtect是什么? 01 03 02 一个基于堆 特定的解释引 栈机的intel指 擎，用于解释 令的模拟器 通过编译,把intel 执行上述的虚 拟指令 指令编译成精心 设计的一组虚拟 指令(PCode) 从本质来讲，VMProtect是 8/27/16 2:30PM 2 8/27/16 2:30PM 3 相关术语 Intel指令寄存器(Register) 和VM指令寄存器(VMReg) VMProtect一共有14个寄存 器，但是用16个格子(slot)存 放它们，有多的2个格子可 以理解成自由寄存器，最终 扩展成16个寄存器。 8/27/16 2:30PM 4 相关术语 Intel指令(Intel Instruction) 和VM指令(VMRecord) Intel指令就是Intel的汇编指令， 在VMProtect的世界里面，指令是由 比如 VMRecord组成的，比如 add eax,ecx vm_push_imm32 0x1 xor eax,eax … vm_get_context_dword slot_offset Intel指令编译生成对应的一组VMRecord ，