世俱杯 2025

VMProtect是一种很可靠的工具，可以保护应用程序代码免受分析和破解，但只有在应用程序内保护机制正确构建且没有可能破坏整个保护的严重错误的情况下，才能实现最好的效果。

【下载VMProtect最新试用版】

小编大家整理了大佬们的使用技巧和经验与大家分享，希望能够帮助你解决实际运用中遇到的问题。本文接着介绍关于反汇编引擎。

③特殊Opcode解析

一般例如jmp call都是需要二次解析的

拿条命令举例说明：jmp dword ptr ds:[eax*4+0x474FCF] 这一条命令就是跳到不同的Handle块执行，jmp它Opcode是FF所以对应的VMOpcode=0xC

根据跳转类型判断，判断E8 E9 EA 近 段间 短跳转

例如像那种：jmp VMDispatcher就会符合条件例如像那种：jmp VMDispatcher就会符合条件

我们这个是else if ( DisassemblyFunction->Magic == 2 )

解析sub_4918E8函数

首先看一看sub_494F60函数，保存VmOpcode信息跟Displacement，再根据大小读取，设置ModRM信息

v5->First.ModRM_mod__Or__Size = 2；jmp dword ptr ds:[eax*4+0x474FCF] 就是这种寻址方式

SetDisassemblyFunction_Address函数解析

if ( v8->VMOpcode == 1 || (result = v8->VMOpcode - 3, v8->VMOpcode == 3) )成立条件

v533->VMOpcode=1：

case 0xA8: // Test al,imm8

case 0x16u: // push ss

case 0x1Eu: // push ds

case 0x50~0x57: // 50=push rax/r8 51=push rcx/r9以此类推

case 0x68u: // push Imm32/16

等等

v533->VMOpcode=3：

case 0xC7u: // MOV R/M32,IMM32

case 0x20: // and Eb,Gb

case 0x22: // and Gb,Eb

等等

SetDisassemblyFunction_Address函数涉及到的结构体如下：

执行依次SetDisassemblyFunction_Address标记结尾。（注意这里参数2就是：0xC）