VMP虚拟指令逆向分析算法

摘要

针对现有虚拟机保护逆向分析集中式解释执行结构不适用于线索式解释执行,且虚拟机字节码序列隐含的控制流表现在解释例程相邻跳转关系上的问题,提出一种基于动态追踪记录和解释例程语义特征的虚拟机保护软件逆向分析算法。以动态二进制逆向调试作为支撑,跟踪记录被虚拟机保护的代码在动态执行过程中的指令执行轨迹信息,对记录的虚拟机动态执行轨迹信息进行聚类分析,识别虚拟机指令的动态解释执行例程,根据解释执行过程的语义特征分析还原动态解释例程的虚拟指令。测试结果表明,该算法能够正确还原虚拟机保护程序的虚拟指令,有效简化虚拟机保护过的程序,降低软件逆向分析难度。