-
-
[原创]VMP分析插件应用实例：一个简单的CrackMe
-
发表于: 2013-2-21 22:43
-
|
|
|---|---|
|
|
|
|
|
感谢两位的解答，
|
|
|
|
|
|
|
|
|
但是指令名字不能改吧？比如vPushReg4不能改为vPushReg4a，否则分析的时候就不识别了。这样的话在未来如果vmp出现新指令还能扩展吗？
特征是能够识别的出vPushReg4和vPopReg4的只是后面的操作寄存器识别不出。我自己分析出来了以后怎么告诉插件呢？ 
|
|
|
|
|
|
指令数据有改成寄存器,部分vPopReg4和vPushReg4能够识别,但是分析虚拟程序的时候在log里看到xx地址算法分析失败，我就直接跳过去，发现失败的地方存在一些vPopReg4 ??,所以推断是因为vPopReg4寄存器未识别出导致的算法分析失败,等我回去了看看具体怎么寄存器解密的再来汇报,谢谢zdhysd耐心回答
 另外插件在原版od和ollyice里虚拟机调试单步每次都会闪一下，并且退出最大化，在另一个终结者版本运行良好，原因不明。。 
|
|
|
|
|
|
是的，闪就是因为会自动切换焦点到反汇编窗口，然后再切回来，难道和其他插件冲突了导致的吗，我去试试
找到原因了。和Olly Advanced的Flexible Breakpoints选项冲突了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
也就是说这个ESP寄存器没有实际用途喽？还想请教一下我看分析的时候比如说有一个最终表达式为v22 = 0fffffff8 ，而实际上v22代表的是18ff98，是一个堆栈中的临时变量，用于接收多个返回值api。这是分析有误，还是代表相对于某个地址堆栈的相对偏移？如果是有误的话我应该填写怎样的分析提示呢？
|
|
|
|
|
|
|
|
|
|
|
|
|
