# 从虚拟机机制到业务恢复

逆向工作同时维护 VM 状态模型、指令模型和被解释的程序。处理器数量、槽位访问次数、低熵或结构检查通过不能替代业务语义。每一步记录数据来自磁盘、加载后映像、初始化后内存还是特定运行位置。

用户提供的本地 VMPBypass 项目带来可借鉴的方法：先推导上下文、取指、分发表、初始化与自修改阶段，再归纳处理器和字节码。五代采用这些方法，不复制外部实现或沿用案例槽偏移、函数地址、fetch 签名和明文阈值。

该参考目录主要包含 Python 静态扫描和 IDA 桥。文本中的 QEMU 为可选路线；提供的文件没有系统虚拟机后端、原始目标或运行期映像。旧文档的 1334 项与后来运行期报告的 1331 项有修正关系。保存的八项结构检查使用 VMEnter 14/16 的召回阈值；检查函数会跳过缺失的表/fetch/节信息，不能单凭 aggregate pass 断言证据齐全。这些是该份材料的审查结果，不证明或否定其他未提供实现。

五代使用下面的证据链：

1. 绑定原文件、保护器版本/配置和生成来源。熵与段名只产生线索。
2. 从真实解码的数据流推导 VM 栈、VIP、上下文和分发表表达式；区分常量、自由输入、硬件变量与未知别名。
3. 绑定加载映像与运行身份。PE 重定位、保护器初始化写入、自修改代码分别记录，磁盘相同不等于运行内容相同。
4. 从执行时序区分初始化/fixup 与真正分发。候选 fetch 需要上下文和依赖验证，不能把初始化遍历误算为业务执行。
5. 对处理器建立完整输入/输出、内存副作用、标志和转移关系。相似模板只复用已验证规则，不同 VM 或函数的 opcode 映射分别验证。
6. 将具体字节码与处理器关系组合，保留未知路径、守卫与反例；使用独立输入/路径和参考业务验证。缺失检查、超限或局部成功不计整体通过。

现有 x64dbg 录制适合自有样本逐步状态证据。整机虚拟机可增加从客体之外观察用户态与内核执行的路线。QEMU 官方支持整机记录/回放和快照；事件记录不是现成的逐指令寄存器/内存轨迹，需要重放时导出分析所需状态。[QEMU 官方说明](https://www.qemu.org/docs/master/system/replay.html)

PANDA 基于 QEMU 提供整机记录/回放与分析插件接口，是后续研究候选。固定构建、客体系统支持、进程/地址空间识别、事件到指令映射和采集开销须实际验证；已有 Windows 虚拟机不等于这些功能已接入。新车道不能改变宿主安全设置、原始供体、许可或已有执行审批；一次看到明文不等于任意加固通解。[PANDA 官方项目](https://github.com/panda-re/panda)

整机采集应绑定 VM 配置、只读基盘摘要与可回滚工作层、起始快照、运行标识、CPU/系统配置、时间/设备事件、客体模块和代码变化。导出的状态应携带指令位置、完整寄存器、读写字节、线程或地址空间及顺序，缺口明确标出。业务与路径证明仍由独立恢复层承担。