Unicorn PE

Unicorn PE は、unicorn ベースの計測プロジェクト/フレームワークであり、Windows PE ファイル、特にパックされたファイルのコード実行をエミュレートするために設計されています。

• このプロジェクトはアーカイブされ、もはやメンテナンスされていません。後継として sogen が推奨されます。

機能

エミュレーションメモリから PE イメージをファイルにダンプし、インポートテーブルを修正し、VMProtect の文字列を復号し、VMProtect のインポートを復号します。

例外の部分的なサポート。(#DB と #BP のみ)

実行されるすべての命令の逆アセンブルを表示します。

BlackBone を最新版 (2020.4.5) に更新。

TODO

機能: x86 (優先度低) -- 0%

ビルド

Visual Studio 2017 または 2019

Visual Studio で unicorn_pe.sln を開きます。

プロジェクト "unicorn_pe" を x64/Release または x64/Debug としてビルドします。(現時点では x86 はサポートされていません)

使用方法

unicorn_pe (ファイル名またはファイルパス) [-k カーネルモードドライバエミュレーション用] [-disasm 逆アセンブル表示用] [-dump バイナリダンプ用] [-packed パックされたバイナリ用] [-boundcheck メモリアクセス境界チェック用、実行が遅くなる可能性があります]

プログラミング

...ドキュメント化予定

スクリーンショット

オリジナルドライバ

vmprotect パックドライバ

vmprotect が暗号化された IAT を修正中

vmprotect が元のエントリポイントに戻る

vmprotect パック DLL、完全なユーザーモードエミュレーション。

ライセンス

このソフトウェアは MIT ライセンスの下でリリースされています。LICENSE を参照してください。

依存関係

PE の手動マッピングのために https://github.com/DarthTon/Blackbone の修正版が作成されています。

エミュレーション用に https://github.com/unicorn-engine/unicorn。

逆アセンブル用に https://github.com/aquynh/capstone。