VMP डिवर्चुअलाइज़र - उत्पादन रिलीज़

सामान्यीकृत VMProtect डिवर्चुअलाइज़र जो संस्करण 1.x, 2.x और 3.x का समर्थन करता है। स्वतंत्र CLI टूल + Ghidra प्लगइन।

स्थिति: ✅ उत्पादन के लिए तैयार | सत्यापन: 22/22 नमूने (100%) | दायरा: VMP ≤3.6 (3.7+ के लिए रिवर्स इंजीनियरिंग आवश्यक)

विशेषताएँ

• बहु-संस्करण समर्थन: VMP 1.x, 2.x, 3.x (1.1 → 3.10.5)
• संस्करण पहचान: ह्यूरिस्टिक्स के माध्यम से स्वचालित पहचान
• डिस्पैच टेबल निष्कर्षण: एन्क्रिप्टेड तालिकाओं के लिए Unicorn XOR कुंजी कैप्चर
• हैंडलर वर्गीकरण: सभी संस्करणों में 256 हैंडलर प्रकार
• बाइटकोड डिकोडिंग: VM ऑप्स → x86-64 निर्देश पुनर्निर्माण
• प्लेटफ़ॉर्म समर्थन: Windows PE + Linux ELF बाइनरी
• डीकंपाइलर एकीकरण: VM बाइटकोड → स्यूडोकोड
• Ghidra प्लगइन: इंटरैक्टिव हैंडलर विश्लेषण + एनोटेशन

त्वरित प्रारंभ

बिल्ड

cd /home/ciupix/vmp_devirt_prod
cargo build --release

बाइनरी: target/release/vmp_devirt

उपयोग

# बाइनरी का विश्लेषण करें
./target/release/vmp_devirt <binary_path>

# हैंडलर निर्यात करें
./target/release/vmp_devirt <binary_path> --export-handlers handlers.json

# बाइटकोड निर्यात करें
./target/release/vmp_devirt <binary_path> --export-bytecode bytecode.json

सत्यापन परिणाम

सारांश

• कुल नमूने: 22
• सफलता दर: 22/22 (100%)
• औसत प्रसंस्करण समय: 229ms
• कुल समय: 5.0 सेकंड

संस्करण के अनुसार

परीक्षित नमूने:

• VMP 1.x: HiVmp.vmp.1.1.exe, HiVmp.vmp.1.4.exe, HiVmp.vmp.1.54.exe, HiVmp.vmp.1.70.4.exe
• VMP 2.x: Branch0.vmp.exe, HiVmp.exe, mfc_algo_demo.vmp.exe, Project1.vmp.exe, Project2.vmp.exe, Project4.vmp.exe
• VMP 3.x: add_control_flow.vmp.exe, adder.vmp.exe, bitwise.vmp.exe, control_flow_test.vmp.exe, cpuid_test.vmp.exe, fac_fib.vmp.exe, globals.vmp.exe, hello_world.vmp.exe, multiadder.vmp.exe, nested_virt_funccall.vmp.exe, ptr_drf.vmp.exe, switch.vmp.exe

विस्तृत परिणामों के लिए VALIDATION_REPORT.md देखें।

आर्किटेक्चर

इनपुट बाइनरी
    ↓
PE/ELF लोडर (src/pe_loader.rs)
    ↓
संस्करण डिटेक्टर (src/version.rs)
    ↓
डिस्पैच टेबल निकालने वाला (src/dispatch_table.rs)
    ├─ Unicorn XOR कुंजी कैप्चर (src/unicorn_emulator.rs)
    └─ पैटर्न मिलान फ़ॉलबैक
    ↓
हैंडलर क्लासिफायर (src/handler_classifier.rs)
    ↓
बाइटकोड डिकोडर (src/bytecode.rs)
    ├─ ऑपरेंड डिक्रिप्शन (src/decrypt.rs)
    └─ ALU पुनर्निर्माण (src/alu.rs)
    ↓
आउटपुट (JSON/स्यूडो-असेंबली)

मुख्य मॉड्यूल

कुल: उत्पादन Rust कोड की लगभग 2,800 पंक्तियाँ

कार्यान्वयन विवरण

संस्करण पहचान

निम्न पर आधारित ह्यूरिस्टिक्स:

• हैंडलर प्रविष्टि पैटर्न (POP/PUSH ऑपकोड)
• डिस्पैच तंत्र (जम्पटेबल बनाम एन्क्रिप्टेड चेन बनाम हैंडलर चेन)
• PE अनुभाग लेआउट (.vmp0, .vmp1, .text)
• प्रविष्टि स्टब पैटर्न (PUSH एन्क्रिप्टेड + CALL/JMP)

डिस्पैच टेबल निष्कर्षण

VMP 1.x/2.x: .text अनुभाग में पैटर्न मिलान के माध्यम से XOR कुंजी निष्कर्षण

• XOR निर्देश पैटर्न के लिए स्कैन करता है
• ऑपकोड अनुक्रमों से कुंजियाँ प्राप्त करता है
• इमेज बेस रेंज के विरुद्ध मान्य करता है

VMP 3.x: हैंडलर चेन डिस्पैच

• डिस्पैच पॉइंट (DP0-DP5) का पता लगाता है
• हैंडलर चेन का ट्रेस करता है
• 256 डिस्पैच प्रविष्टियाँ निकालता है

हैंडलर वर्गीकरण

निम्न पर पैटर्न मिलान:

• प्रविष्टि पैटर्न (49 8b 2a = VMP 3.x के लिए POP)
• मुख्य संचालन (SUB, ADD, XOR, आदि)
• ऑपरेंड प्रकार (स्लॉट, ऑफ़सेट, तत्काल)
• डिस्पैच तंत्र (push/ret, direct jmp)

बाइटकोड डिकोडिंग

1. बाइटकोड अनुभाग से ऑपकोड पढ़ें
2. हैंडलर शब्दार्थ देखें
3. ऑपरेंड निकालें (स्लॉट, ऑफ़सेट)
4. ValueCryptor चेन के माध्यम से ऑपरेंड डिक्रिप्ट करें
5. x86-64 निर्देश को पुनर्निर्मित करें
6. VM संदर्भ को संभालें (रजिस्टर फ़ाइल, फ़्लैग, स्टैक)

ज्ञात सीमाएँ

1. VMP 3.7+ (मर्ज किए गए हैंडलर) - समर्थित नहीं। VMP 3.7+ ने मर्ज किए गए हैंडलर (प्रति हैंडलर प्रविष्टि में कई ऑप्स) शुरू किए हैं जो वर्तमान क्लासिफायर को तोड़ देते हैं। वास्तविक 3.7+ नमूने के साथ रिवर्स इंजीनियरिंग की आवश्यकता है। विवरण के लिए FUTURE_WORK.md देखें।
2. XOR कुंजी सत्यापन चेतावनियाँ - VMP 1.x/2.x के लिए अपेक्षित (गैर-महत्वपूर्ण)
3. VMP 3.x डिस्पैच पहचान - नए अस्पष्टीकरण के लिए फ़ॉलबैक रणनीति का उपयोग करता है
4. Linux नमूने - वर्तमान परीक्षण सेट में शामिल नहीं (ELF समर्थन लागू है)

प्रदर्शन

• थ्रूपुट: ~4.4 नमूने/सेकंड
• मेमोरी: प्रति नमूना <50MB
• विलंबता: बाइनरी आकार के आधार पर 5ms-3.25s

दस्तावेज़ीकरण

• VALIDATION_REPORT.md - व्यापक परीक्षण परिणाम
• IMPLEMENTATION_COMPLETE.md - कार्यान्वयन स्थिति
• UNICORN_IMPLEMENTATION_REPORT.md - XOR कुंजी कैप्चर विवरण

स्रोत संदर्भ

VMP 3.5.1 स्रोत रिसाव विश्लेषण पर आधारित आर्किटेक्चर:

• हैंडलर संरचना और डिस्पैच तंत्र
• ValueCryptor चेन कार्यान्वयन
• ALU संचालन पैटर्न
• VM संदर्भ प्रबंधन

लाइसेंस

शोध/शैक्षिक उपयोग

संपर्क

समस्याओं या प्रश्नों के लिए, सत्यापन रिपोर्ट या कार्यान्वयन दस्तावेज़ देखें।

अंतिम अद्यतन: 2026-06-01 स्थिति: उत्पादन के लिए तैयार