天盾网络验证 VMP 强壳逆向

天盾网络验证 VMP 强壳逆向
逆向分析准备：需要掌握逆向工程的基础知识，如汇编语言、调试技巧等。准备好逆向工程工具，如 IDA Pro、OllyDbg 等。了解 VMP 壳的相关知识，VMP 是一款虚拟机保护软件，会将本机代码转换成字节码，并由虚拟机控制执行，增加逆向分析的复杂度。
动态调试定位关键函数：用调试工具加载加壳后的程序，定位两个关键 API，即kernelbase的GetSystemTimeAsFileTime和ntdll的QueryPerformanceCounter。在这两个 API 尾部下断点，不要下在ret之前，要有一定辨识度。观察堆栈，在执行完QueryPerformanceCounter的断点之后注意返回text领空的情况。在text段向上寻找程序入口点。
脱壳与修复：利用调试工具自带的脚本进行dump。检查dump文件的重定位等指标并进行相应设置。使用 UIF 工具进行 IAT 重建，针对这个进程进行修复。将得到的文件放进 IDA 进行查看和进一步分析。不过需要注意的是，逆向分析他人软件可能涉及到法律问题，在进行相关操作时需确保符合法律法规。