0.VMP的工作原理

1.VMP实现虚拟化的方案

虚拟机的寄存器：在内存开辟一段连续的区域当成虚拟机的寄存器，业界称之为VM_CONTEXT，某些版本的VMP用EDI指向这个区域
虚拟机的堆栈: 这个和物理机是一样的，直接在内存开辟就好。VMP还是用EBP指向栈顶
虚拟机的指令：不同版本VMP的指令是不一样的，这样可以在一定程度上防止VMP本身被破解，业界俗称VM_DATA
虚拟机的EIP：业界俗称veip，某些版本的VMP用ESI替代，指向VM_DATA，用以读取虚拟CPU需要执行的指令；

2、VMP虚拟机的执行流程

　　（1）想想启动VT时，是不是要先开辟一段内存空间，把当前guestOS部分寄存器的值保存好？VMP也一样，先保存物理寄存器的值，后续退出VM后才能还原

（2）让vEIP从VM_DATA读取虚拟机的指令(pcode)

（3）由于虚拟机的指令和物理CPU完全不同，那么在指令读取后，该怎么去执行了？举个栗子：比如0x1表示入栈，0x2表示出栈，0x3表示寄存器之间互相传数据（当然实际的指令可能不会这么简单，VMP每个版本的指令集都不同），这些指令该怎么执行了？在VMP中，有个概念叫handler，专门根据不同的指令执行不同的操作（当然这些操作VMP事先都定义好了）。这个和VT中VMX的handler作用类似：根据不同的异常有不同的处理方法（我个人猜测VMP的作者肯定借鉴了VT的原理和思路）；

　　为了达到这种不同指令执行不同handler分支的效果，编码实现层面通常用switch+case实现，用于将不同的指令跳转到不同的分支执行，业界俗称dispatcher。具体到汇编代码，switch+case一般的汇编形式为：mov ecx,dword ptr ds:[eax*4+base]（注意寄存器可能会变成其他的，但这 xxx*4+基址的形式不会变） , 这是比较明显的特征，用以用来定位VMP的dispatcher。

　　（4）执行完一个handler，vEIP接着指向下VM_DATA的下一个指令，然后重复（2）-（4）这几个步骤；

以VMP1.1版本的加密为例子

#include <iostream>
__declspec(naked) void test() {
    __asm {
        mov eax, 0x12345678
        ret
    }
}
int main()
{
    test();
    std::cout << "Hello VMP!\n";

    system("pause");
    
    return 0;

}