vmp-devirt

بحث إزالة الحماية الافتراضية من VMProtect بمساعدة التتبع: واجهات أمامية للإصدارات (1.x gate / 2.x table / 3.x FDJ) تغذي خلفية واحدة مشتركة (Remill lift → LLVM opt → semantic cards → dataflow → native objects).

تم التحقق منها مقابل ثنائيات VMP 3.9.4 مبنية ذاتيًا عبر أوضاع حماية متعددة. توافق VMP 3.8.x/3.10.x تجريبي ويعتمد على العينة.

النطاق والقيود (اقرأ أولاً)

هذه منصة بحثية لتحليل الثنائيات المحمية بـ VMProtect التي تملكها أو لديك ترخيص لهندستها العكسية — وليست أداة إزالة حماية افتراضية شاملة بضغطة زر:

• يتطلب VMP 3.7+ تنفيذًا: تدفقات الجلب والمفاتيح وأهداف المعالجات تأتي من لقطات Unicorn المُجهزة، وليس من التحليل الساكن.
• التغطية مرتبطة بالتتبع: يتم استرداد المسارات المنفذة فقط. تعمل عمليات متعددة الحالات + دمج الفروع على توسيعها؛ يبقى استرداد CFG للبرنامج الكامل للأهداف المعقدة يدويًا.
• مضاد المحاكاة (بوابات التوقيت، فخاخ I/O، فحوصات البيئة) يحتاج إلى stubs لكل هدف — توفر المنظومة الآلية، وأنت توفر القيم.
• الواجهات الأمامية لـ VMP 1.x/2.x هي ماسحات استكشافية؛ يتم الاحتفاظ بممشياتها الساكنة القديمة كأوراكل للتحقق المتقاطع، وليس كمسارات أساسية.

التخطيط

src/
  lib.rs               crate root, data_dir()
  pe_loader.rs         PE parsing / VA reads
  opcode_map.rs        canonical 3.5.1 opcode -> handler map
  frontend/
    mod.rs             VmFrontend trait (detect/fetch_stream/handler_addrs)
    fetch_finder.rs    movzx-byte FDJ scan + watchset/snapshot helpers
    cryptor_miner.rs   per-site ValueCryptor mining (branch-following)
    site_emulator.rs   sample-specific oracle decoders (legacy)
    handler_classifier.rs  handler classification via legacy patterns
    classifier_legacy.rs   first-bytes patterns (weak; fallback only)
    v1_gate.rs         VMP 1.x gate-scan front-end
    v2_walker.rs       VMP 2.x dispatch-table front-end
    v3_fdj.rs          VMP 3.x FDJ front-end
  backend/
    value_cryptor.rs   ADD/SUB/XOR/ROL/ROR/NOT/NEG/... chains
    lifter.rs          iced-x86 text lift + Remill subprocess backend
    llvm_pipeline.rs   opt -O3 over Remill IR (real passes)
  harness/
    snapshot.rs        Unicorn snapshots: sections+scratch mapping,
                       IN hooks, import stubs, watch hits, memlog,
                       zero-slide fast-forward
tests/
  smoke.rs             synthetic PE64 + hand-built fetch chain (no fixtures)
tools/                 (analysis drivers; each documents its inputs)
scripts/               Triton/angr/Ghidra helpers (external deps)

البناء

# Debian/Ubuntu (LLVM 22 for optional llvm feature)
sudo apt install llvm-22-dev libclang-22-dev clang-22
cargo build --release          # pure Rust (no LLVM link)
cargo build --release --features llvm   # llvm-sys link check
pip install triton-library capstone pefile   # python helpers
# Remill (optional lifter backend): build upstream, export REMILL_LIFT=<path>/remill-lift
# Souper (optional MBA superoptimizer): external only, wire its `souper` CLI
#   to scripts/triton_handlers.py output if desired; not vendored.

يعيد Dockerfile إنتاج البيئة الكاملة. يشغل CI الأمر cargo build/test --release (الميزات الافتراضية، بدون ربط LLVM، بدون عينات تجارية؛ يتم تخطي الاختبارات المقيدة بالعينات، ويعمل tests/smoke.rs دائمًا). يعمل فحص الربط الاختياري --features llvm كمهمة CI غير معيقة (يحتاج LLVM 22).

البيئة

Var	Default	Meaning
DATA_DIR	./data	all tool artifacts
WATCH_FILE	$DATA_DIR/watch.txt	fetch VAs to watch
CARDS	open_cards3.json	Remill card cache file
BIN_PATH	target binary path (tools default: ./target.exe placeholder)	target binary
IAT_JSON	—	{api_name: iat_va} import stub map
VMP_TEST_BIN / VMP_ORACLE	tests/fixtures/…	licensed-sample tests
REMILL_LIFT	remill-lift-22 on PATH	Remill lift binary
DEVIRT / FORCE_EDGE / REPO_ROOT	./target/… / .	script-called binaries + repo root
VMP_WORK_DIR	system temp	lift scratch
EFLAGS / IN_RET / DLL_MAIN	—	snapshot state variants

الطريقة (3.x، المسار المُثبت)

1. خذ لقطة للثنائي من نقطة دخوله في Unicorn (الأقسام + scratch، ret بصفحة صفرية، import stubs، IN hook).
2. اكتشف مواقع الجلب (نبضات movzx byte [reg] المنفذة — الأنماط الساكنة فقط قاست 0% تنفيذ على الأهداف المحصنة).
3. استخرج cryptors لكل موقع من الكود (قائمة عمل تتبع الفروع).
4. فك تشفير raw^key باستخدام سجل المفتاح المعماري (المسح الحر يفرط في التخصيص — قيّده بالمفتاح المستخرج).
5. ارفع المعالجات التي تم الوصول إليها عبر Remill، opt -O3، أخرج cards/dataflow، أعد الترجمة باستخدام llc (ld -r يثبت قابلية التركيب).

الترخيص

MIT (انظر LICENSE) مع ملاحظات التبعيات (لا سيما Unicorn GPL-2.0). للاستخدام البحثي/التعليمي فقط، على الثنائيات التي تملكها أو يُسمح لك بتحليلها.