VMP学习笔记之壳的重定位修复（五）

理论知识：

1、为什么需要重定位

因为特殊情况这块地址不给用了你要挪到另外一个地方，你本来是在哪里的挪到另外一个地方你还是在哪里

如下图所示：

小明在教室A是第一排，搬到教室B小明还是第一排

 2、待修复数据如下：

push 0xFACE0002 -------->修复后是：0

mov edi,0xFACE0003 -------->修复后是：新区段首地址VMcontext

jmp dword ptr ds:[eax*4+0x474FCF] -------->修复后是：Handle块,类似于Switch

jmp short 00474984 -------->修复后是：VMDispatcher

总结：

1、这些地址直接使用肯定会报错，因为这些地址是基于加壳机的，并非我们被加壳程序的。

2、我们要将所有地址修复成基本我们被加壳程序的

3、我们要修改两处：struct_DisassemblyFunction->LODWORD_VMP_Address跟struct_DisassemblyFunction->ReadHexAddress

4、基本要修复都是有：Displacement、Immediate这些

3、如图所示

第一种：修复struct_DisassemblyFunction->LODWORD_VMP_Address

&nbs