vmp-lazy-unpack

一个基于仿真的 Windows（x64、x32）VMProtect 3.x 二进制文件脱壳器和导入解析器。

该项目最初是一个用于在我们的反虚拟化流水线中脱壳 VMProtect 3 的脚本。它无需附加调试器或进行实时转储即可完成脱壳。

工作原理

该项目使用 Unicorn 来仿真 VMProtect 脱壳器和导入解析器所使用的系统调用。

• 该项目附带一份固定到特定 Windows 版本的 Windows dll 导出目录。
• 二进制文件被映射到一个模拟的 Windows 进程中。
• 仿真从入口点开始，处理 api 和系统调用，同时跟踪已恢复的代码和已解析的导入。
• 当执行进入已恢复的代码时，我们停止仿真。
• 根据收集到的元数据重建 IAT，修补已识别的导入桩，修复异常表。
• 随后将脱壳后的、已仿真的进程从内存转储到磁盘。

安装

py -m pip install -e .

为了获得不错的速度，建议安装 Microsoft C++ Build Tools，以便使用 C 辅助程序。如果未安装，脱壳会回退到纯 Python 实现的钩子（较慢）。

用法

对于常规脱壳 + 导入修复，运行：

py -m unpack "C:\path\file.exe"

对于 32 位，使用：

py -m unpack "C:\path\file.exe" --32bit

要对已经脱壳的二进制文件修复导入：

py -m unpack "C:\path\file.bin" --imports_only

限制

• 仅支持 Windows x86。已针对 VMProtect 3.4、3.9、3.10 和 3.11 进行测试。
• 这不会对代码进行反虚拟化。
• 这不会自动解析虚拟化函数内部的对外调用。这些已恢复的导入会包含在 IAT 中，以供后续提升使用。

---

想聊聊去混淆或逆向工程吗？