IDA -> main -> Name字符串，HGL345，很明显，这个程序我们之前分析过，特征字符串

这次的分析目的不一样，是要patch掉反虚拟机技术，从而使得代码运行起来

根据书中17.2.5反虚拟机的x86指令一节，如下指令：

sidt，sgdt，sldt，smsw，str，in（第二个操作数被设置为VX），cpuid

恶意代码通常并不运行这些指令，除非它们执行VMWare检测

在IDA的汇编中显示出来标红，可能是asm汇编嵌入C中，导致这部分代码逻辑和其他代码不一样

在main入口运行findAntiVM.py

from idautils import *
from idc import *

heads = Heads(SegStart(ScreenEA()), SegEnd(ScreenEA()))
antiVM = []
for i in heads:
	if (GetMnem(i) == "sidt" or GetMnem(i) == "sgdt" or GetMnem(i) == "sldt" or GetMnem(i) == "smsw" or GetMnem(i) == "str" or GetMnem(i) == "in" or GetMnem(i) == "cpuid"):
		antiVM.append(i)

print "Number of potential Anti-VM instructions: %d" % (len(antiVM))

for i in antiVM:
	SetColor(i, CIC_ITEM, 0x0000ff)
	Message("Anti-VM: %08x\n" % i)

结果如下：

Number of potential Anti-VM instructions: 3
Anti-VM: 00401121
Anti-VM: 004011b5
Anti-VM: 00401204

在cmd中运行程序，发现程序一直在跑起来，没有检测到

分析sidt：