VMP加殼(二)：VMP的虛擬化原理

本文轉載自查看原文 2021-01-09 17:33 3349

　　介紹VMP虛擬化原理之前，先簡單介紹一下計算機運行的原理。總所周知，現代計算機的核心部件是CPU、內存、磁盤、鍵盤、顯示器等；最最最核心的就屬CPU、內存和磁盤了。用戶按開機鍵，CPU會把OS從磁盤加載到內存運行。由於CPU只能識別並執行二進制文件，所以代碼、數據等都是以二進制存放在磁盤和內存的。

1、為了在軟件層面“虛擬化”出底層的硬件，讓OS順利在虛擬機運行，虛擬機也要提供CPU、內存和磁盤的“虛擬”環境，讓二進制代碼得以順利執行。目前主流的虛擬化技術是intel/amd推出的VT技術，讓VMware、virtualBox這種虛擬機可以“直接”讓硬件CPU執行二進制代碼，極大提升了虛擬機的效率和速度，減少了模擬的性能損耗。但這種虛擬機的功能相對較重，並且直接讓硬件CPU執行虛擬機的二進制代碼，達不到保護、混淆代碼的目的，所以這種硬件虛擬化是不適合做代碼保護的，只能考慮通過純軟件模擬虛擬機執行代碼指令。

　　為了在軟件層面模擬CPU執行二進制的代碼指令，需要有以下關鍵點：

虛擬機的寄存器，用來存放各種臨時數據
虛擬機的堆棧，用來做各種數據交換
虛擬機的指令。x86架構下，CPU一旦讀取到0x55指令，就知道執行push ebp；一旦讀取到0x8BEC，就知道執行mov ebp,esp；同理，虛擬機也需要有自己的指令集，虛擬CPU才知道自己要干啥。一般虛擬機的指令要么是操作寄存器，要么是操作堆棧，要么做各種算數運算，虛擬機指令的handler都要模擬這些功能。那么問題來了，虛擬機的指令集能不能和物理CPU一樣了？顯然是不行的！兩個原因：（1）如果一樣，還要純軟件虛擬機干啥？（2）如果一樣，達不到混淆指令的目的
虛擬機的EIP，用來指明虛擬CPU當前執行的代碼

為了滿足以上關鍵點，VMP采取的方案：

虛擬機的寄存器：在內存開辟一段連續的區域當成虛擬機的寄存器，業界稱之為VM_CONTEXT，某些版本的VMP用EDI指向這個區域
虛擬機的堆棧: 這個和物理機是一樣的，直接在內存開辟就好。VMP還是用EBP指向棧頂
虛擬機的指令：不同版本VMP的指令是不一樣的，這樣可以在一定程度上防止VMP本身被破解，業界俗稱VM_DATA
虛擬機的EIP：業界俗稱vEIP，某些版本的VMP用ESI替代，指向VM_DATA，用以讀取虛擬CPU需要執行的指令；

2、VMP虛擬機的執行流程

　　（1）想想啟動VT時，是不是要先開辟一段內存空間，把當前guestOS部分寄存器的值保存好？VMP也一樣，先保存物理寄存器的值，后續退出VM后才能還原

（2）讓vEIP從VM_DATA讀取虛擬機的指令

（3）由於虛擬機的指令和物理CPU完全不同，那么在指令讀取后，該怎么去執行了？舉個栗子：比如0x1表示入棧，0x2表示出棧，0x3表示寄存器之間互相傳數據（當然實際的指令可能不會這么簡單，VMP每個版本的指令集都不同），這些指令該怎么執行了？在VMP中，有個概念叫handler，專門根據不同的指令執行不同的操作（當然這些操作VMP事先都定義好了）。這個和VT中VMX的handler作用類似：根據不同的異常有不同的處理方法（我個人猜測VMP的作者肯定借鑒了VT的原理和思路）；

　　為了達到這種不同指令執行不同handler分支的效果，編碼實現層面通常用switch+case實現，用於將不同的指令跳轉到不同的分支執行，業界俗稱dispatcher。具體到匯編代碼，switch+case一般的匯編形式為：mov ecx,dword ptr ds:[eax*4+base] （注意寄存器可能會變成其他的，但這 xxx*4+基址的形式不會變）, 這是比較明顯的特征，用以用來定位VMP的dispatcher。

　　（4）執行完一個handler，vEIP接着指向下VM_DATA的下一個指令，然后重復（2）-（4）這幾個步驟；

整個過程展示如下：

（5）綜上所述，要想全面了解、分析和掌控VMP，必須要找准這么幾個點：

　VM_DATA：虛擬機的指令都集中在這了
VM_CONTEXT：虛擬寄存器都保存在這里
diapatcher：所有指令都從這里路由到對應的handler執行（可以簡單理解為管理層派發活的，不過3.x版本的VMP貌似去掉了統一的dispatcher，由上個handler直接跳轉到下個handler，有點P2P、區塊鏈去中心化的感覺）
handler：具體模擬執行虛擬指令的分支（可以簡單理解為具體干活的工具人）。handler之間跳轉通過jmp esi 或 push esi ,ret等指令實現（不同版本使用的寄存器可能不同，但跳轉實現的方式就這些）；
vEIP：當前執行的指令，需要明確是由那個物理寄存器保存的
vStack：存放了臨時數據用於各種交換，目前版本還是由

　　3、上面講了大段各種理論，下面說說具體怎么找這些關鍵點（注意: 下面OD分析的截圖不是一次調試截取的，事實上我測試時反復調試了十幾次，每次用OD打開樣本的地址都不同，但不影響代碼執行的順序和關鍵點的分析）。

（1）demo代碼如下：這里模擬一個密碼、lisence之類的場景：正確的密碼是123，輸入后輸出ok；輸入錯誤的密碼就輸出fail；

#include <stdio.h>
#include <stdlib.h>
#include <Windows.h>

char buf[1204];

void main()
{
    while (1)
    {
        scanf("%s", buf);
        if (!strcmp(buf, "123"))
            printf("ok\n");
        else
            printf("fail\n");
    }

}