Unicorn PE

Unicorn PE 是一个基于 unicorn 的插桩项目/框架，旨在模拟 Windows PE 文件的代码执行，尤其是加壳的 PE 文件。

• 该项目已归档，不再维护。推荐使用 sogen 作为替代方案。

功能

从模拟内存中将 PE 镜像转储到文件，修复导入表，解密 VMProtect 字符串，解密 VMProtect 导入。

对异常的部分支持。（仅 #DB 和 #BP）

显示所有正在执行的指令的反汇编。

将 BlackBone 更新到最新版本（2020.4.5）。

TODO

功能：x86（低优先级）-- 0%

构建

Visual Studio 2017 或 2019

使用 Visual Studio 打开 unicorn_pe.sln

将项目 "unicorn_pe" 构建为 x64/Release 或 x64/Debug。（目前不支持 x86）

用法

unicorn_pe (文件名或文件路径) [-k 用于内核模式驱动模拟] [-disasm 用于显示反汇编] [-dump 用于二进制转储] [-packed 用于加壳二进制] [-boundcheck 用于内存访问边界检查，可能会降低执行速度]

编程

...待补充文档

截图

原始驱动

vmprotect 加壳驱动

vmprotect 正在修复加密的 IAT

vmprotect 返回到原始入口点

vmprotect 加壳 DLL，完整的用户模式模拟。

许可证

本软件根据 MIT 许可证发布，详见 LICENSE。

依赖项

对 https://github.com/DarthTon/Blackbone 进行了修改，用于 PE 手动映射。

https://github.com/unicorn-engine/unicorn 用于模拟。

https://github.com/aquynh/capstone 用于反汇编。