VMP VMP学习笔记之反汇编引擎学习

第二种情况，有SIB寻址模式

根据上面找到的地址，发现是 ”，说明有SIB表

SIB结构如下:

以一个随机命令为例:

Jmp dword ptr ds:这个命令是跳转到不同的Handle块执行

Jmp，它的Opcode是FF，所以对应的VMOpcode=0xC

我们是else if

4.历史遗留问题

1)如何使用所有保存的struct _拆装函数和struct_VmFunctionAddr将在后面揭示

2)其中2)v530被赋值:

3)魔法==2符合条件

参考数据

1.名称:谈谈vmp的恢复

网站:https://bbs.pediy.com/thread-225278.htm

2.名称:操作码汇编指令快速启动

网站:https://bbs.pediy.com/thread-113402.htm

3.名称:X86指令编码内部-指令操作码

网站:https://blog.csdn.net/xfcyhuang/article/details/6230542

见雪ID:黑手鱼

https://bbs.pediy.com/user-585205.htm

﹀

﹀

﹀