反混淆虛擬機、Triton、Qiling Framework 和 Token Runtime Evasion 簡介

注：ChatGPT 是個愚蠢的保姆，在我校對了我的成績單後，試圖讓我靜音並向我講授道德和道德。操那該死的。我會給你所有你想要的力量。資源： https://revers.engineering/custom-getprocaddress-and-getmodulehandle-implementation-x64/ https://github.com/JonathanSalwan/Tigress_protection?tab=readme-ov-file https://github.com/hackerhouse-opensource/Marble 0:01–0:21 — 介紹/錄製 要點：開始錄製；說他們用法學碩士總結了事實。 0:21–0:51 — 提及“Marble 框架”/逆向工程預告 0:51–2:04 — 代碼結構/標題/命名混淆 2:04–3:10 — Jonathan Salwan — 介紹和成就 要點：介紹 Jonathan Salwan，提到他攻擊了 VM 混淆器，參考了 Tigress 和（閉源）俄羅斯 VMProtect。 3:10–4:16 — VMProtect/加殼器工件和檢測 要點：聲明 VMProtect 混淆的二進製文件顯示可疑部分/加殼器，並且可能會被識別指紋 4:16–5:03 — VM 混淆器基礎知識/自定義解釋器 要點：VM 混淆器使用自定義字節碼/ISA 和帶有打包存根的調度程序/虛擬機。 5:03–6:13 — Triton/動態污點類比 要點：描述 Triton、動態污點分析，將污染與放射性示踪劑類比進行比較。替換建議：“Triton 和污點分析有助於跟踪數據和控制流以查找相關代碼路徑。” 6:13–7:07 — 英特爾 PIN、引腳工具、Tiny Tracer 要點：提到英特爾 PIN（檢測）、引腳工具作為 DLL 注入以跟踪 API 調用；參考Tiny Tracer。 7:07–9:12 — DBI 框架和 DSE / SMT 求解器入門 要點：提及 DynamoRio、DBI、動態符號執行 (DSE)、污染、指導分支探索的 SMT 求解器。 9:12–11:00 — Jonathan Salwan 的研究/語義與助記符 要點：討論一篇關於保護知識產權的論文；定義語義與助記符（符號與含義）。 11:00–13:00 — 符號/含義示例、AST 要點：粗略代碼示例、指針/結構、AST 工作的含義與符號映射。替換建議：“AST 將符號映射到它們的語義；反混淆尋求等效的語義。” 13:00–15:04 — 語義圖/調度程序/字節碼類比 要點：將 VM 字節碼與 Java 或 .NET 解釋器進行比較；調度程序將操作碼解碼為處理程序。 15:04–17:19 — 原始 VM 調度程序/指令大小/簡單 VM 示例 要點：展示具有 32 位指令的簡單 VM，添加/移動/乘法/返回； VPC（虛擬程序計數器）概念。 17:19–19:28 — 向後切片/相關指令/重複執行 要點：向後切片有助於消除不相關（無關）指令；需要執行許多次來識別相關路徑。 19:28–20:26 — 中間語言 (IL) 和重建 要點：您將獲得一個對 VM 進行建模的 IL（不可直接編譯）；重建為可讀的代碼。 20:26–21:20 — Qiling/Qiling 提及/工具安裝評論 要點：提及 Qiling 比 Triton 更容易；安裝評論。 21:20–25:10 — 令牌、隱藏令牌、寄存器 (XMM/MM) aWindsocknd 調用約定 要點：定義令牌概念（用於指紋行為的值）、聲明在 XMM/MM 寄存器中隱藏令牌，並列出用於類似 VirtualAlloc 的調用 (RCX/RDX/R8/R9) 的 Windows x64 參數寄存器。替換建議：“令牌（標識符/返回值）可以在運行時進行混淆；調用約定將早期參數放置在 x64 上的寄存器中（Windows：RCX、RDX、R8、R9）。” 25:10–27:19 — 序言/尾聲和 shellcode 保存 要點：Shellcode 一般使用序言/尾聲來保存/恢復寄存器並避免崩潰。 27:19–29:17 — 自定義 getprocaddress/getmodulehandle 示例/PEB 解析 要點：提到通過解析 PEB/TEB 來查找模塊/函數來逆向 GetModuleHandle/GetProcAddress 實現。 29:17–33:34 — 自定義 API 重建/轉儲和重新創建、調試器工作流程 要點：描述單步進入 LoadLibrary/GetProc、轉儲函數內存以及重新創建用戶態版本以避免導入；警告複雜性（Unicode 變體等）33:34–35:17 — 建議：Winsock TCP 與 WinHTTP；結束建議。