手动脱简单的虚拟机壳（themida)

最新推荐文章于 2024-02-19 18:30:00 发布

转载最新推荐文章于 2024-02-19 18:30:00 发布 · 875 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：http://blog.51cto.com/haidragon/2121729

文章标签：

#运维

本文详细介绍了一种破解带有反虚拟机技术保护的程序的方法。包括如何修改配置以禁用特定功能、寻找程序的原始入口点（OEP）、修复导入地址表（IAT）以及进行脱壳处理等关键步骤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.它有反虚拟机在vm中要修改下配置配置代码在最后面
2.查找什么写的
手动脱简单的虚拟机壳（themida)
3.找OEP 有下断到 GetVersion 或者找 sub esp,0x58 这里要到401000那去搜索不然找不到有可能同时先要程序运行起来
直接搜索没有

定位到0x401000也没有

运行进来就有了

点下发现还是条花指令同时不像OEP （因为它偷取了OEP）
手动脱简单的虚拟机壳（themida)
nop一条就是oep

通过对比没有偷取 OEP的程序发现少了不少指令
但只要还原俩条就可以了（一定要还原不然修改iat后运行不了）

就里又要注意了不能现在就修复IAT 因为程序跑起来的因此在OEP下断一般下硬件的断到入口再修复
手动脱简单的虚拟机壳（themida)
发现软件断点去了

那就下硬件的断下来了

改下指令

修复 IAT 这里又是一个坑不能简单的填代码段的结束（不然修复时程序直接报错)

到401000查看所有模块间的调用填最后一个函数的地址

还有一点是填新的IAT时也要注意这个程序填439000也报错填438000可以
手动脱简单的虚拟机壳（themida)
修改IAT后到这里就可以dump了 OEP为 94a0

再修复导入表有一个点要注意的是大小填多点这是我自己填的1000默认为500

脱壳完成破解就比较简单了

在vmx文件最后加上脱完要改回来因为变卡了
配置：

isolation.tools.getPtrLocation.disable="TRUE"
isolation.tools.setPtrLocation.disable="TRUE"
isolation.tools.getVersion.disable="TRUE"
isolation.tools.setVersion.disable="TRUE"
monitor_control.disable_directexec = "TRUE"
monitor_control.disable_chksimd = "TRUE"
monitor_control.disable_ntreloc = "TRUE"
monitor_control.disable_selfmod = "TRUE"
monitor_control.disable_reloc = "TRUE"
monitor_control.disable_btinout = "TRUE"
monitor_control.disable_btmemspace = "TRUE"
monitor_control.disable_btpriv = "TRUE"
monitor_control.disable_btseg = "TRUE"

usb:0.present = "TRUE"
usb:0.deviceType = "hid"
usb:0.port = "0"
usb:0.parent = "-1"

转载于:https://blog.51cto.com/haidragon/2121729