03 2013 档案

虚拟寄存器，虚拟堆栈与真实寄存器，真实堆栈如何对应
摘要：待续。。。 阅读全文
posted @ 2013-03-25 06:35 manhook 阅读(183) 评论(0) 推荐(0)
某封包地址分析
摘要：BT收包 00551C23 . E8 F8B00700 call 005CCD20 数据 esp 长度 esp + 4 YS收包 00561026 . 8B45 C8 mov eax,dword ptr ss:[ebp-38] 数据 ebp-38 长度 edx BT发包 00551F38 . E8 03A4EEFF call 0... 阅读全文
posted @ 2013-03-24 22:23 manhook 阅读(203) 评论(0) 推荐(0)
VMP逻辑运算公式
摘要：P(a,b) = ~a & ~b not(a) = P(a,a) and(a,b)= P(P(a,a),P(b,b)) or(a,b) = P(P(a,b),P(a,b)) xor(a,b)= P(P(P(a,a),P(b,b)),P(a,b)) 阅读全文
posted @ 2013-03-24 04:48 manhook 阅读(311) 评论(0) 推荐(0)
VMP运行机制 【版本2.1】
摘要：VM的开始会伴随着 1: push key 2: jmp addr这个KEY 应用在接下来的解码中，在进入JMP后，就开始初始化虚拟机环境，例如初始化虚拟机的堆栈，寄存器之类的 1: 0046515C 9C pushfd ; 初始化虚拟堆栈vESP+28：EFL... 阅读全文
posted @ 2013-03-21 03:18 manhook 阅读(546) 评论(0) 推荐(0)
VM各寄存器作用
摘要：在VMP的VM运行过程中，各个寄存器的基本用途是：EBP和EDI是VM堆栈指针（不是常规的堆栈）；ESI是伪指令指针（相当于常规的EIP）；EAX是VM解密数据的主运算寄存器；EBX是VM解密数据的辅运算寄存器；ECX是常规的循环计数器；ESP是常规的堆栈栈顶指针。EDX是读取伪指令表数据； EDI、EBP分别指向VM堆栈的上下限位置，EBP指向堆栈的下限并向上发展，EDI指向堆栈的上限并使用... 阅读全文
posted @ 2013-03-20 23:16 manhook 阅读(361) 评论(0) 推荐(0)