將Jmp Handle跟Jmp VMDispatcher分別存儲

Jmp Handle處理方法

1. 首先來看ESI_Matching_Array[0]==6，v52成立的條件

   

2. 然后拿v214->FunAddr去struc_SaveAllDisasmFunData數組里面找到符合

   

3. DateTimeToStr_2函數查找過程，查找到返回該數組下標，然后用GetItem_7讀取出該數組：
   條件是：v214->FunAddr == struct_DisassemblyFunction->LODWORD_VMP_Address。基礎版（struc_SaveAllDisasmFunData）：

   

4. 然后判斷ESIResults[Number_1]==1，如果成立將找到的DisassemblyFunction結構體保存起來

   

5. 最后將該找到的DisassemblyFunction結構保存到v7->Esi_Addr[4 * Number_1]

   

Jmp VMDispatcher處理方法

1. 直接去struc_SaveAllDisasmFunData數組查找，找到直接保存
2. 與Jmp Handle相比少了ESIResults[Number_1]過濾跟將結果保存到*(_DWORD *)&v7->Esi_Addr[4 * Number_1]

   

執行完畢結果

IDA定義的結構體：

OD顯示：

Jmp VMDispatcher與Jmp Handle的含義是什么意思？

如圖所示：

Jmp VMDispatcher就是：看jmp short 00474989這一句，每個Handle塊執行完畢都是跳回到VMDispatcher進行下一輪字節解析

Jmp Handle就是：VmpHandle塊,每個Handle對應不同的功能