某某云网络验证脱壳
#0x00 狭路相逢"偶然"碰到了一个网络验证，广告语写着"全新的虚拟机架构，虚拟机超强变异，让您的软件难以分析", 看上去好像很好玩, 于是我(emmm)就弄了几个极速模式的样本分析看看, 见识一下这个全新的虚拟机架构, 至于是啥网络验证，这次我就不点名了, 本文也不提供样本。
**以下讨论的是该网络验证基于极速模式加密的样本**
#0x01 猫捉老鼠
根据描述，还可以加密64位文件，但是加密后的文件打开运行却是32位程序，猜测有把原程序写到硬盘的操作。由于其严酷的拉黑机制(反调试 - -!)(你干点啥它都拉黑你, 这就是所谓的超强的反调试, 但其实根本没啥用)，考虑先不用调试器，绕路走，用某剑监视其程序操作，部分关键操作如下。
写出Registration.tmp 猜测跟解密相关
写出exe，猜测是登录后释放的原exe
转到目录下查看，发现一个43k大小的exe，不符合加密前exe大小。
但是，在...目录下发现了一个很可疑的exe
复制出来运行提示未经授权运行，估计它就是我们要找的原程序了。
#0x02 林中小屋
监控发现原程序读取了Registration.tmp
用x32dbg看一下，发现这入口一股浓浓的Themida味(这网络验证是Themida的作者写的？)
运行起来CE搜一遍字符串，这确实是WinLicense没错,
把Registration.tmp和原程序复制出来，回滚虚拟机快照后，再把Registration.tmp放回去，发现可以直接运行原程序。（但是无法再次运行，会提示未经授权运行。并且更换机器做同样的操作也无法运行。）
根据以上行为特征，可以大致猜出该网络验证的流程：
**发送卡号并上传机器码 -> 验证通过 -> 下发锁定机器码以及运行次数为1的key ->释放原程序(WL授权加密) -> 运行原程序**
虽然下发的key回滚快照可以一直使用，用监控程序监视它读写了哪些注册表和文件，再统统删掉也可以无限使用，但是它锁定了机器码，总归是不方便。为了速战速决, 考虑脱壳。
#0x03 旧事重提
到达OEP以后修一下IAT，处理下虚拟机内部的pause就能脱下来了。这里不提供脚本，只讲下到达OEP和修IAT的思路。
OEP的话，用祖传VirtualProtect大法。VirtualProtect下断，运行，看到代码段(401000)出现两次后，执行到返回，取消断点。
对代码段下内存执行断点。
再运行一次就到OEP了。
OEP虽然被虚拟化了，但是可以不修。
WL没有抹掉原来的IAT表，而是随机将部分IAT填充到自己的壳代码了，图中下划线为白色的就是被壳抽取的IAT。
这里使用的是x32dbg，撸脚本也方便。修复脚本基本思路为：
逐个获取IAT表里的pointer，用mod.isexport判断是否为1，不为1说明被抽取或者为该pointer为0，如果是被抽取，记录当前cip和csp，将cip设置为取得的pointer，并且对csp-4设置硬件写断点，run 3-5次并判断mod.isexport，为1则将写到IAT表对应的位置，并将cip和csp设置回去。
需要注意，ExitProcess貌似被WL特殊照顾，无法用这种办法取得，没想到修复办法，就只能手动填充了。暂时没发现其他的IAT有这种问题，图中47C294处就是脚本无法修复的ExitProcess。
修复完IAT，记得扫描一遍内存，处理掉所有的pause，jmp或者全部nop都可以，特征如图
全部处理完，就能运行了。
**以下讨论的是该网络验证基于极限模式加密的样本**
#0x04 黑洞的极限运动
上面说的是极速模式下的样本，那极限模式的样本呢？尝试按照以上方法脱下来以后，跨平台运行会崩溃。
推测极限模式是WinLicense的全保护，不过问题不大。多分析分析也能脱下来。
该极限模式样本有两种防dump（不知道有没有更多防dump，只加了两个虚拟化水印）
一种是在到达OEP前加密存储kernel32.dll的基址，然后虚拟化水印会读取基址+随机偏移，因为不同机子以及重启后系统dll基址会改变的关系，程序会崩溃。OEP虚拟化也会用这种防dump。
另外一种是运行到该处水印代码后，虚拟机将代码解密写回原来的位置。
虚拟机运行完毕后。
过kernel32基址的防dump，可以分配一块跟当时一样地址的内存，WL只读取，并没有对里面的值做校验，如果有其他dll占用了也可以直接过。
另一种防dump，可以把存放在WL区段的VirtualProtect 地址，修改到自己代码的FF25 ，如果不巧，程序IAT没有VirtualProtect，就得自己加上了。
#0x05 梦一场
！！！！所以这里根本没有什么所谓的超强虚拟机, 全新的虚拟机架构？搞半天就是用WinLicense做了个授权, 我好像是来找自写虚拟壳来着，怎么最后在脱WinLicense了。
后续将会提供脱壳脚本以及特征，方便大家研究学习。 这个用的wl跟upx一样看起来像是2.x
具体 看不出来是哪个版本的
另外wl的netlicense在官网有说明文档
新人第一帖加精鼓励下
Ps:自写虚拟机 可以搞搞Sprotect。 :victory:这个帖子关键在于分析提取授权文件和源程序，脱壳是其次……wl脚本论坛都有的。另外，一般情况下，论坛的那个脚本通杀1.8-2.4的wl壳。
顺带一提……如果是wl3.0的壳，就不好说了……原作者不确定是否更新脱wl3.0的脚本。 我学不会大姑 lz分析的是卓越云？？？这会是谁的小号呢{:1_918:} 学习学习 研究学习一下 大佬何必用小号来怼呢。。不方便吗？
楼主分析的很到位，学习一下。 前来学习了 我知道你是谁了，师傅。 tql ....又一位大佬啊。。