Что это?
Это инструмент на Python, который автоматически распаковывает Windows x64-бинарники, защищённые VMProtect 3.x, и восстанавливает их таблицу импорта (IAT) — без отладчика и дампа живой памяти.
Это инструмент на Python, который автоматически распаковывает Windows x64-бинарники, защищённые VMProtect 3.x, и восстанавливает их таблицу импорта (IAT) — без отладчика и дампа живой памяти.Это библиотека или отдельный скрипт, который я запускаю на бинарнике?Это консольный инструмент на основе скриптов, а не библиотека: вы указываете на защищённый бинарник, он эмулирует собственный анпакер VMProtect и системные вызовы с помощью Unicorn, а затем сбрасывает восстановленный процесс на диск.
Это консольный инструмент на основе скриптов, а не библиотека: вы указываете на защищённый бинарник, он эмулирует собственный анпакер VMProtect и системные вызовы с помощью Unicorn, а затем сбрасывает восстановленный процесс на диск.Как распаковать бинарник этим инструментом?Запустите главный скрипт на исполняемом файле, упакованном VMProtect, чтобы за один проход распаковать его и починить импорты, либо запустите отдельный режим исправления импортов на уже распакованном бинарнике.
Запустите главный скрипт на исполняемом файле, упакованном VMProtect, чтобы за один проход распаковать его и починить импорты, либо запустите отдельный режим исправления импортов на уже распакованном бинарнике.Что нужно установить перед запуском?Он полагается на движок эмуляции Unicorn; для большей скорости стоит также установить Microsoft C++ Build Tools, чтобы использовался скомпилированный C-хелпер вместо более медленных хуков на чистом Python.
Он полагается на движок эмуляции Unicorn; для большей скорости стоит также установить Microsoft C++ Build Tools, чтобы использовался скомпилированный C-хелпер вместо более медленных хуков на чистом Python.Он справится с любым бинарником VMProtect и чего он не умеет?Он нацелен только на Windows x64-бинарники, проверен на VMProtect 3.4, 3.9 и 3.10, не девиртуализирует виртуализованный код и не разрешает автоматически внешние вызовы, сделанные изнутри виртуализованных функций.
Он нацелен только на Windows x64-бинарники, проверен на VMProtect 3.4, 3.9 и 3.10, не девиртуализирует виртуализованный код и не разрешает автоматически внешние вызовы, сделанные изнутри виртуализованных функций.Что такое VMProtect и почему его распаковка важна?VMProtect — это коммерческий обфускатор/виртуализатор для Windows-бинарников; его распаковка — необходимый первый шаг, прежде чем любой конвейер девиртуализации или дальнейшего реверс-инжиниринга сможет анализировать защищённый код.
VMProtect — это коммерческий обфускатор/виртуализатор для Windows-бинарников; его распаковка — необходимый первый шаг, прежде чем любой конвейер девиртуализации или дальнейшего реверс-инжиниринга сможет анализировать защищённый код.Как он избегает подключения отладчика к цели?Он отображает целевой бинарник в симулируемый Windows-процесс и эмулирует его системные вызовы и вызовы API с помощью Unicorn, останавливаясь, когда выполнение доходит до восстановленного кода, поэтому живой отладчик или дамп памяти не нужны.
Он отображает целевой бинарник в симулируемый Windows-процесс и эмулирует его системные вызовы и вызовы API с помощью Unicorn, останавливаясь, когда выполнение доходит до восстановленного кода, поэтому живой отладчик или дамп памяти не нужны.Что происходит с таблицей адресов импорта после распаковки?IAT восстанавливается из данных, собранных во время эмуляции, распознанные заглушки импортов патчатся, а таблицы исключений чинятся, прежде чем восстановленный процесс будет сброшен из памяти на диск.
IAT восстанавливается из данных, собранных во время эмуляции, распознанные заглушки импортов патчатся, а таблицы исключений чинятся, прежде чем восстановленный процесс будет сброшен из памяти на диск.Он восстанавливает вызовы изнутри виртуализованного кода?Да, импорты, вызываемые изнутри виртуализованных функций, всё равно восстанавливаются и добавляются в IAT, хотя сам виртуализованный код не девиртуализируется.
Да, импорты, вызываемые изнутри виртуализованных функций, всё равно восстанавливаются и добавляются в IAT, хотя сам виртуализованный код не девиртуализируется.What are similar projects?x64dbg, umium, GhidraMCP, awesome-reverse-engineering, hacker-roadmap, raptor, dsh-redteam-model, reverse-engineering
x64dbg, umium, GhidraMCP, awesome-reverse-engineering, hacker-roadmap, raptor, dsh-redteam-model, reverse-engineeringWhich topics is it in?x86-64, malware, malware-analysis, security-research, binary-analysis, hacking-tool, hacking, reverse-engineering, cybersecurity, security-tools, command-line-tool, security
x86-64, malware, malware-analysis, security-research, binary-analysis, hacking-tool, hacking, reverse-engineering, cybersecurity, security-tools, command-line-tool, security