Unicorn PE

Unicorn PE एक unicorn आधारित इंस्ट्रूमेंटेशन प्रोजेक्ट/फ्रेमवर्क है जिसे विंडोज़ PE फाइलों, विशेष रूप से पैक की गई फाइलों, के लिए कोड निष्पादन का अनुकरण (emulate) करने के लिए डिज़ाइन किया गया है।

• यह प्रोजेक्ट संग्रहीत (archived) है और अब इसका रखरखाव नहीं किया जाता है। sogen को उत्तराधिकारी के रूप में अनुशंसित किया जाता है।

विशेषताएँ

emu-memory से PE इमेज को फाइल में डंप करें, इम्पोर्ट टेबल ठीक करें, VMProtect स्ट्रिंग्स को डिक्रिप्ट करें, VMProtect इम्पोर्ट्स को डिक्रिप्ट करें।

एक्सेप्शन के लिए आंशिक समर्थन। (केवल #DB और #BP)

निष्पादित की जा रही सभी निर्देशों के लिए disasm दिखाएँ।

BlackBone को नवीनतम संस्करण (2020.4.5) में अपडेट करें।

TODO

विशेषता: x86 (कम प्राथमिकता) -- 0%

बिल्ड

Visual Studio 2017 या 2019

Visual Studio के साथ unicorn_pe.sln खोलें

प्रोजेक्ट "unicorn_pe" को x64/Release या x64/Debug के रूप में बिल्ड करें। (अभी के लिए x86 समर्थन नहीं है)

उपयोग

unicorn_pe (फाइलनाम या फाइलपथ) [-k कर्नेल मोड ड्राइवर अनुकरण के लिए] [-disasm disasm प्रदर्शित करने के लिए] [-dump बाइनरी डंप के लिए] [-packed पैक की गई बाइनरी के लिए] [-boundcheck मेमोरी एक्सेस बाउंड चेक के लिए, निष्पादन को धीमा कर सकता है]

प्रोग्रामिंग

...दस्तावेज़ीकरण बाकी है

स्नैपशॉट

मूल ड्राइवर

vmprotect पैक किया गया ड्राइवर

vmprotect एन्क्रिप्टेड IAT को ठीक कर रहा है

vmprotect मूल एंट्री पॉइंट पर वापस जाता है

vmprotect पैक किया गया DLL, पूर्ण यूज़र-मोड अनुकरण।

लाइसेंस

यह सॉफ्टवेयर MIT लाइसेंस के तहत जारी किया गया है, LICENSE देखें।

निर्भरताएँ

PE मैनुअल-मैपिंग के लिए https://github.com/DarthTon/Blackbone का एक संशोधन किया गया है।

अनुकरण के लिए https://github.com/unicorn-engine/unicorn।

disasm के लिए https://github.com/aquynh/capstone।