Virtual Files

lach · July 28, 2019, 2:05pm

Собираюсь обновиться до Ultimate, есть несколько вопросов по нужной мне функции “Virtual Files”

Каким образом перехватываются обращения к нужным файлам?
Если просматриваются обращения к функциям файловой системы, будут ли работать не прямые их вызовы?
Если VMProtect устанавливает хуки, то как я могу не устроить конфликтов своими хуками (Мой код ставит хуки на LoadLibrary(Ex)(A|W))?

Admin · August 5, 2019, 7:10am

Каким образом перехватываются обращения к нужным файлам?

Через хуки на ntdll

Если просматриваются обращения к функциям файловой системы, будут ли работать не прямые их вызовы?

Например?

Если VMProtect устанавливает хуки, то как я могу не устроить конфликтов своими хуками (Мой код ставит хуки на LoadLibrary(Ex)(A|W))?

Мы не ставим хуки на LoadLibrary, поэтому конфликтов не будет.

lach · August 5, 2019, 12:56pm

Код моего приложения написан на Rust, и тут немного по другому устроена работа со строками
Сделал мелкий проект для примера

Обычно для передачи строки C библиотекам пишут примерно такой код:

github.com/CertainLach/VMProtect-Rust-Example

src/main.rs

master


      
          
          // = "Correct definition\0"
          const MARKER_NAME: [i8; 19] = [
              67i8, 111i8, 114i8, 114i8, 101i8, 99i8, 116i8, 32i8, 100i8, 101i8, 102i8, 105i8, 110i8, 105i8,
              116i8, 105i8, 111i8, 110i8, 0i8,
          ];
          
          fn main() {
              unsafe {
                  vmprotect::internal::VMProtectBegin(
                      std::ffi::CString::new("Incorrect definition")
                          .unwrap()
                          .as_ptr(),
                  )
              };
              println!("Hello, world! #1");
              unsafe { crate::vmprotect::internal::VMProtectEnd() };
              unsafe { vmprotect::internal::VMProtectBegin(&MARKER_NAME as *const i8) };
              println!("Hello, world! #2");
              unsafe { crate::vmprotect::internal::VMProtectEnd() };
          }

Анализатор VMProtect такое конечно же не ожидает, и в интерфейсе этот маркер отображается как “VMProtectMarker1”

Для него маркеры нужно выносить в виде, в каком оно выглядит в C

github.com/CertainLach/VMProtect-Rust-Example

src/main.rs

master


      
          mod vmprotect;
          
          // = "Correct definition\0"
          const MARKER_NAME: [i8; 19] = [
              67i8, 111i8, 114i8, 114i8, 101i8, 99i8, 116i8, 32i8, 100i8, 101i8, 102i8, 105i8, 110i8, 105i8,
              116i8, 105i8, 111i8, 110i8, 0i8,
          ];
          
          fn main() {
              unsafe {
                  vmprotect::internal::VMProtectBegin(
                      std::ffi::CString::new("Incorrect definition")
                          .unwrap()
                          .as_ptr(),

github.com/CertainLach/VMProtect-Rust-Example

src/main.rs

master


      
          fn main() {
              unsafe {
                  vmprotect::internal::VMProtectBegin(
                      std::ffi::CString::new("Incorrect definition")
                          .unwrap()
                          .as_ptr(),
                  )
              };
              println!("Hello, world! #1");
              unsafe { crate::vmprotect::internal::VMProtectEnd() };
              unsafe { vmprotect::internal::VMProtectBegin(&MARKER_NAME as *const i8) };
              println!("Hello, world! #2");
              unsafe { crate::vmprotect::internal::VMProtectEnd() };
          }

Такое уже нормально анализируется, и этот маркер отображается как должен (VMProtectMarker “Correct definition”)

Вопрос был связан как раз с этим, будет ли VMProtect анализировать вызовы функций обращающихся к ФС, и заменять их на что то своё, либо он просто поставит хуки на системные, и любые виды вызовов будут работать нормально

На всякий случай кину скомпилированный код из репозитория:
Под linux: https://files.lach.pw/vmprotect/vmprotect_example?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=lach%2F20190805%2F%2Fs3%2Faws4_request&X-Amz-Date=20190805T124520Z&X-Amz-Expires=604800&X-Amz-SignedHeaders=host&X-Amz-Signature=e99b56a1439a57c70771c3e5cc11e210ae03dd71b86aa790436635cc82d12cd3
Под Windows: https://files.lach.pw/vmprotect/vmprotect_example.exe?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=lach%2F20190805%2F%2Fs3%2Faws4_request&X-Amz-Date=20190805T125451Z&X-Amz-Expires=604800&X-Amz-SignedHeaders=host&X-Amz-Signature=a33f33ef32ee47cdc27d81a78c7d659853f6702a0b2ee153f8d810eaf812ac3b

Admin · August 6, 2019, 6:55am

Вопрос был связан как раз с этим, будет ли VMProtect анализировать вызовы функций обращающихся к ФС, и заменять их на что то своё, либо он просто поставит хуки на системные, и любые виды вызовов будут работать нормально

Я вам уже писал, что VMProtect ставит хуки только на ntdll. В любом случае вы можете проверить необходимый вам функционал с помощью демо версии.

x22x22 · August 6, 2019, 2:09pm

Also, virtual files decrease execution speed significantly.
Could you check this issue?

Admin · August 7, 2019, 3:53pm

Also, virtual files decrease execution speed significantly.

Yes.