참고: ChatGPT는 내 성적표를 교정한 후 멍청한 보모로서 나를 음소거하고 윤리와 도덕에 대해 강의하려고 했습니다. 젠장, 젠장. 나는 당신이 원하는 모든 힘을 당신에게 줄 것입니다. 리소스: https://revers.engineering/custom-getprocaddress-and-getmodulehandle-implementation-x64/ https://github.com/JonathanSalwan/Tigress_protection?tab=readme-ov-file https://github.com/hackerhouse-opensource/Marble 0:01–0:21 — 소개/녹음 요점: 녹음 시작; 그들은 LLM을 통해 사실을 요약했다고 말합니다. 0:21–0:51 — "Marble 프레임워크" 언급 / 리버스 엔지니어링 티저 0:51–2:04 — 코드 구조 / 헤더 / 이름 난독화 2:04–3:10 — Jonathan Salwan — 소개 및 업적 핵심 포인트: Jonathan Salwan 소개, VM 난독 처리기를 공격했다고 언급, Tigress 및 (비공개 소스) 러시아어 VMProtect 참조. 3:10–4:16 — VMProtect / 패커 아티팩트 및 감지 핵심 사항: 주장 VMProtect 난독화 바이너리는 의심스러운 섹션/패커를 표시하고 지문이 채취될 수 있습니다. 4:16–5:03 — VM 난독 처리기 기본 사항/사용자 지정 인터프리터 요점: VM 난독 처리기는 사용자 지정 바이트 코드/ISA 및 패킹 스텁이 있는 디스패처/가상 머신을 사용합니다. 5:03–6:13 — Triton / 동적 오염 비유 핵심 요점: 동적 오염 분석인 Triton을 설명하고 오염을 방사성 추적자 비유와 비교합니다. 제안 교체: "Triton 및 오염 분석은 데이터 추적 및 흐름 제어를 통해 관련 코드 경로를 찾는 데 도움이 됩니다." 6:13–7:07 — Intel PIN, 핀 도구, Tiny Tracer 요점: Intel PIN(계측), API 호출 추적을 위해 삽입된 DLL로서의 핀 도구를 언급합니다. Tiny Tracer를 참조합니다. 7:07–9:12 — DBI 프레임워크 및 DSE/SMT 솔버 입문서 핵심 포인트: DynamoRio, DBI, 동적 기호 실행(DSE), 오염, 분기 탐색을 안내하는 SMT 솔버를 언급합니다. 9:12–11:00 — Jonathan Salwan의 연구 / 의미론 대 니모닉 요점: 지적 재산 보호에 관한 논문에 대해 토론합니다. 의미론적 vs 니모닉(기호 vs 의미)을 정의합니다. 11:00–13:00 — 기호/의미의 예, AST 핵심 포인트: 대략적인 코드 예, 포인터/구조체, AST 작업에 대한 의미 대 기호 매핑. 제안 교체: "AST는 기호를 의미론적 의미에 매핑합니다. 난독화는 동등한 의미론을 찾습니다." 13:00–15:04 — 의미론적 그래프/디스패처/바이트코드 비유 요점: VM 바이트코드를 Java 또는 .NET 인터프리터와 비교합니다. 디스패처는 opcode를 핸들러로 디코딩합니다. 15:04–17:19 — 기본 VM 디스패처 / 명령 크기 / 간단한 VM 예 요점: 32비트 명령, 추가/이동/곱하기/반환이 포함된 간단한 VM을 보여줍니다. VPC(가상 프로그램 카운터) 개념. 17:19–19:28 — 역방향 슬라이싱/관련 명령/반복 실행 핵심 사항: 역방향 슬라이싱은 관련 없는(관련 없는) 명령을 제거하는 데 도움이 됩니다. 관련 경로를 식별하려면 많은 실행이 필요합니다. 19:28–20:26 — IL(중간 언어) 및 재구축 요점: VM을 모델링하는 IL(직접 컴파일할 수 없음)을 얻습니다. 읽을 수 있는 코드로 다시 빌드하세요. 20:26–21:20 — Qiling/Qiling 언급 / 도구 설치 의견 요점: Qiling이 Triton보다 쉽다고 언급합니다. 댓글을 설치하세요. 21:20–25:10 — 토큰, 숨기기 토큰, 레지스터(XMM/MM) aWindsocknd 호출 규칙 핵심 사항: 토큰 개념(지문 동작에 사용되는 값)을 정의하고 XMM/MM 레지스터에서 토큰을 숨기는 것을 요구하며 VirtualAlloc과 유사한 호출(RCX/RDX/R8/R9)에 대한 Windows x64 인수 레지스터를 나열합니다. 제안 교체: "런타임에 토큰(식별자/반환 값)이 난독화될 수 있습니다. 호출 규칙은 x64(Windows: RCX, RDX, R8, R9)의 레지스터에 초기 인수를 배치합니다." 25:10–27:19 — 프롤로그/에필로그 및 쉘코드 보존 요점: 쉘코드는 일반적으로 프롤로그/에필로그를 사용하여 레지스터를 저장/복원하고 충돌을 방지합니다. 27:19–29:17 — 사용자 정의 getprocaddress/getmodulehandle 예 / PEB 구문 분석 핵심 사항: 모듈/함수를 찾기 위해 PEB/TEB를 구문 분석하여 GetModuleHandle/GetProcAddress 구현을 반대로 하는 것에 대해 언급합니다. 29:17–33:34 — 사용자 정의 API 재구성/덤프 및 재생성, 디버거 작업 흐름 핵심 사항: LoadLibrary/GetProc 실행, 함수 메모리 덤프 및 가져오기 방지를 위한 사용자 영역 버전 재생성에 대해 설명합니다. 복잡성 경고(유니코드 변형 등) 33:34–35:17 — 권장 사항: Winsock TCP 대 WinHTTP; 마무리 조언.
