看了PEDIY天易LOVE的《深入浅出VMP爆破》，https://bbs.pediy.com/thread-127020.htm，受益匪浅，之前一直搞不懂万用闸的概念。不过天易LOVE的演示程序是VMP1.2，我用VMP2.08对文章中的示例加壳以进行一次实战。如果你对VMP没有概念，建议先看看我在看雪的一篇文章，https://bbs.pediy.com/thread-224204.htm。
我简单观察了一下VMP2.X版本虚拟流程（无变异）后的代码，目测代码混淆只使用了数据流的插入死码，以及控制流的间接转移，算是吃了一颗定心丸。
原版未加密的程序很简单。
00453F18 |. E8 87FFFFFF call VMP原版.00453EA4 00453F1D |. 84C0 test al,al 00453F1F |. 74 0C je short VMP原版.00453F2D 00453F21 |. B8 743F4500 mov eax,VMP原版.00453F74 ; Good job! 00453F26 |. E8 458AFDFF call VMP原版.0042C970 00453F2B |. EB 0A jmp short VMP原版.00453F37 00453F2D |> B8 883F4500 mov eax,VMP原版.00453F88 ; Try again! 00453F32 |. E8 398AFDFF call VMP原版.0042C970 00453F37 |> 33C0 xor eax,eax
00453EA4 /$ 83F8 7B cmp eax,0x7B 00453EA7 |. 74 06 je short VMP原版.00453EAF 00453EA9 |. B8 00000000 mov eax,0x0 00453EAE |. C3 retn 00453EAF |> B8 01000000 mov eax,0x1 00453EB4 . C3 retn
VMP是如何实现减法指令的？
可以看看PEDIY海风月影前辈的帖子https://bbs.pediy.com/thread-82618.htm，我简单说下我的理解。
水平有限，如有错误，还望指正。
VMP的逻辑运算指令只有一条，记为VM_NOR。
VM_NOR的一般结构如下：
POP EDX NOT EDX //NOTa NOT DWORD PTR SS:[ESP] //NOTa AND DWORD PTR SS:[ESP],EDX // NOT(a) and NOT(a)= not(a) PUSHFW
NOT指令不影响标志位，可是AND指令影响标志位，我们一般爆破找JZ/JNZ指令，这些指令测试的是ZF标志位。
怎么测试EFLAGS里的ZF标志位？VM_ NOR (NOT(EFLAGS),NOT(0x40))，其结果就是把EFLAGS里面除ZF位以外的标志位全部清0了。ZF标志位在第6位，然后把结果再右移（shr）6位，就可以把ZF位移动到最低位，结果就变成了0和1，然后，再使用VMP里面的唯一一条跳转指令，VM_JUMP根据结果计算出转移地址。ZF为1时，EFLAGS的值是0x40。如果不能理解，找一张EFLAGS的布局图，把0x40转换为二进制，低位对低位的填上去看看即可。这里稍微注意一下，天易LOVE前辈说取出的ZF标志位是反的，可是我个人觉得取出的就是一样的，差别就在于传VM_NOR参数时EFLAGS是否取反。（如有错误，望指正）
所以，JZ跳转成立的条件可以这样表达：
VM_NOR(NOT(EFLAGS), NOT(0x40)) == 0x40
SHR(VM_NOR(EFLAGS, NOT(0x40)), 6) == 0x1
至于上文提到的VM_JUMP，一般形式为。
mov e?x,[ebp] add ebp,4 mov esi, e?x
可是EFLAGS是怎么来的？这个就涉及到VMP模拟减法的知识了。我看了海风月影前辈的帖子，可惜百度空间现在已经被百度下架了，找不到关于减法的内容，侥幸在天易LOVE前辈的帖子里面捡到宝了。
NOT(a) = -a - 1
a - b = NOT(NOT(a) + b)
推到过程如下：
a - b = NOT(a - b) + 1 = NOT(a - b - 1) = NOT(NOT(a) + 1 - 1 + b) = NOT(NOT(a) + b)
VM_NOR是怎么模拟NOT的呢？
NOT(a) = VM_NOR(a,a)
那么，刚刚推导出的NOT模拟减法公式可以用VM_NOR表达。
a - b = VM_NOR(VM_NOR(a,a) + b, VM_NOR(a,a) + b)
至于EFLAGS是由EFLAGS1和EFLAGS2运算产生的。
在运算VM_NOR(a,a) + b时，得到EFLAG1。运算完VM_NOR(VM_NOR(a,a) + b, VM_NOR(a,a) + b)的最外层的那条VM_NOR时，得到EFLAG2。
EFLAGS = VM_ NOR(NOT(EFLAG1),NOT(0x815)) + VM_NOR(NOT(EFLAG2),0x815)
0x815，转换成二进制，对应的是AF、OF、CF、PF标志位为1，也就是说，把SF、ZF标志位清0了。大家考虑一下，运算a - 1 + b时得到的EFLAG1，与最终结果的EFLAGS有哪些差别呢？首先ZF肯定不同，SF因情况而有异数。
接着计算EFLAG2，此时得出了ZF、SF位。最后得出最终结果EFLAGS。
=========================原理分析完，开始实战搞一波==============================
首先，关键点在于我们能不能找到VM_NOR这条Handler，找到了的话基本可以说是万事OK了。
这里的思路参考了半斤八两前辈的一篇文章，http://www.cnblogs.com/BjblCracked/p/4152193.html。（.......原来我的傻逼方法是找到VM Dispatcher，记录下每一个调用的Handler，记录后有上千个，去重复后有几十个，一个一个找…………）
首先，搜索字符串引用，在0x00453EA4这个地方下一个断点（这样做是为了少记录一点无用代码）。
点击菜单，查看——RUN跟踪。打开RUN TRACE窗口，右键，记录到文件，选择你的记录保存在哪里。然后一直跟踪到VM Dispatch，也就是，0045E670 8B1485 A3DE4500 mov edx,dword ptr ds:[eax*4+0x45DEA3]（强迫症）
然后点击，调试——跟踪步入，或者按CTRL+F11。等有提示框弹出的时候，打开你保存的记录文件，进行搜索工作。（有点卡哦，我测试应该有1s左右的延迟）
打开记录文件，搜索EAX=00000040（应该也有可能是EDX=00000040）
若干次查找后，来到此处。
这里找到了VM_NOR闸。
接着我们试试看直接查找0045E88D 主 not eax ; EAX=00000040
若干次后，来到此处。
结果是0，EDX是EFLAGS，EAX是0x40。在OllyDbg里面下一个条件断点试试看。
在0045E8A0 > 9C pushfd
下一个条件断点，EAX==0。
若干次中断后，发现有EDX==286的情况。
把EAX修改为0x40。
把断点删除，F9运行。
刚刚ESI的值是49375B，可以改进一下这个硬件断点。
条件改为ESI == 0x49375B
中断时把EAX修改为0x40即可。
要打补丁很简单，用VEH机制即可。可能需要注意的地方就是KiUserExceptionDispatcher有没有被HOOK拿来反调试。
试炼程序下载：
链接: https://pan.baidu.com/s/1dG019Bj 密码: a9my