彩票走势图

VMProtect是一种很可靠的工具，可以保护应用程序代码免受分析和破解，但只有在应用程序内保护机制正确构建且没有可能破坏整个保护的严重错误的情况下，才能实现最好的效果。

VMProtect通过在具有非标准体系结构的虚拟机上执行代码来保护代码，这将使分析和破解软件变得十分困难。除此之外，VMProtect还可以生成和验证序列号，限制免费升级等等。

下载VMProtect最新试用版

VMProtect正版授权在线订购享受最低价，仅售801元起！还不赶紧加入你的订购清单？>>更多详情可点击咨询购买

Tls回调函数（上）

VmCALL

可以看到，VmCALL取栈中DWORD作为基数计算RBX和RSI，我们第一篇分析过，RSI指向字节码缓冲区，RBX为解密Seed，也就是说每个Chunk都有自己的RSI和RBX。

Chunk1

在继续分析Chunk之前，可先参考下节Nor Gate说明，其对用到的运算的Nor变换做了详细说明，下面的分析不在赘述。

等价逻辑：

If (*(BYTE*)(000000014018B3E7 + $HandlerBase) != 0)
{
//未执行
VmCALL 40180B57
}
Else
{
//即Chunk2
VmCALL 40183322
}

Chunk2

等价逻辑：

If (*(BYTE*)($ImageBase + AddressOfEntryPoint) != 0xCC)
{
//即Chunk3
VmCALL 4018BB57
}
Else
{
//虽然调试器设置默认在入口地址处下int3断点，但是我们的脚本启动时，会把所有断点禁用，因此并没有走Else分支。
VmCALL 4018BC08
}

Chunk3

[Anakin] VmRet

没有特别需要关注的信息，处理寄存器，函数执行完毕，返回调用处。

If (*(BYTE*)(000000014018B3E7 + $HandlerBase) != 0)
{
//未执行
VmCALL 40180B57
}
Else
{
If (*(BYTE*)($ImageBase + AddressOfEntryPoint) != 0xCC)
{
Return
}
Else
{
//虽然调试器设置默认在入口地址处下int3断点，但是我们的脚本运行时，会把所有断点禁用(line 15)，因此并没有走Else分支。
//PS：  这个分支会在 $HandlerBase + 000000014018B3E8 地址处写一个字节‘0x01’，然后返回。
//            此处暂略，后文分析反调试时再谈。
VmCALL 4018BC08
}
}

Nor Gate

基本单元：或非门（Nor）

取反（~）

[Anakin] VmNOTANDB                  ;b = NOTAND(b, b)

取反计算~v实现如下：

Result = Nor(v, v)

与（&）

[Anakin] VmNOTAND                   ;d1 = NOTAND(d1, FFFFF7EA)          => d1 = Nor(~V_10, ~00000815) = V_10 & 00000815

异或（^）

[Anakin] VmPOP V_08                 ;V_08 = NOTAND(d2, d1)              => V_08 = Nor(d1, d2) = V_A8 ^ 246E5573

减法（-）

[Anakin] VmPOPW8 V_60               ;V_60 = b = BYTE:[000000014018B3E7 + $HandlerBase] - 0 

此处不做推导，看几个实例：

不等（!=）

不等判断需结合上文的'减法'分析，代码中V_70为eflag(v1 - v2);

(Nor(Eflags(v1 - v2), 000000BF) >> 6)  == 1。

如果您对该加密/解密软件感兴趣，欢迎加入vmpQQ交流群：740060302