一个基于 VTIL 的 VMProtect x64 3.x 的静态虚拟化解除器。
基于 VTIL 的 VMProtect x64 3.x 的静态虚拟化解除器。
### VMProtect? 不行。 NoVmp 是一个将 VMProtect x64 3.0 - 3.5 (最新版) 实现虚拟化的项目,并可选地使用 [虚拟机翻译中间语言](https://github.com/vtil-project/VTIL-Core) 库重新编译为 x64。该项目仍处于实验阶段,主要是我希望发布的 PoC。大多数内容都可以改进,尤其是使用新的 NativeLifters 仓库,但在本文撰写时尚不存在。 # 使用方法 NoVmp 支持 **未解压的二进制文件**，因此如果您的二进制文件已被打包，则必须先将其解压，此外，如果您使用 Scylla 等工具进行了解压，则还必须使用 `-base` 参数提供原始映像基地，如下所示： 默认情况下,节段发现是自动的,但是如果您的调用没有被链接,则应尝试使用 `-sections` 将 VMProtect 节段名称添加到节段列表中,如下所示: # 已知问题 - VTIL-Core 中的已知问题,主要是缺少跳转表支持以及传播过程耗时过长/效果不佳,这些问题正在解决中。 - 使用移位删除的二进制文件不完全支持。暂无开放 Issues，或尚未同步最近议题。