程序加载到内存后，代码和数据不一定始终保持原样。业务变量会正常更新，某些组件也可能修改指令或函数入口。VMProtect的内存映像校验用于检查受保护模块中应保持不变的内容，不能把它理解成对整个进程做一次全面扫描。配置时要分清启动阶段的检查与程序主动调用的检查，还要看清区段属性。以下以Windows原生EXE、DLL为例说明。

　　一、VMProtect怎么校验内存映像

　　可以通过项目中的内存保护选项启用检查，也可以在源代码中调用SDK函数。前者参与保护程序的初始化过程，后者方便应用在指定位置取得校验结果。

　　1、在项目中启用内存保护

　　①打开VMProtect，载入待处理的【EXE文件】或【DLL文件】。

　　②打开项目【选项】，在文件相关设置中启用【内存保护】。

　　③核对【输出文件名】，将输出位置与原始程序分开。

　　④执行【编译】，查看编译日志，运行生成的受保护文件。

　　启用后，映像完整性检查会在控制权交给程序原入口之前执行。检查发现完整性异常时，程序会显示相应提示并停止执行。它不能代替应用运行期间自行安排的检查，也不意味着所有业务数据都被固定下来。

　　2、通过SDK取得运行时校验结果

　　需要在业务入口或其他指定位置检查时，可以接入VMProtectIsValidImageCRC。函数没有参数，返回布尔值，应用需要自行处理返回结果。

　　①在C/C++项目中包含【VMProtectSDK.h】，配置与目标位数对应的【VMProtectSDK32.lib】或【VMProtectSDK64.lib】。

　　②在选定位置调用【VMProtectIsValidImageCRC()】，保存返回值。

　　③为返回【false】的分支添加日志与错误处理，停止当前操作或按产品要求退出。

　　④重新生成程序，交给VMProtect处理，再测试受保护输出文件。

　　二、VMProtect内存映像校验会检查哪些区段

　　检查对象是受保护模块中不可变的代码和数据。项目内存保护的区段判断与可写属性有关，不能仅凭.text、.data这样的名称列出一份固定名单。

　　1、没有可写属性的代码和数据是检查重点

　　常规PE文件中的代码区和只读数据区，经常符合这一条件。但链接设置可以改变区段布局与属性，实际项目仍应逐项核对。

　　①在文件的区段列表中选择【.text】、【.rdata】等区段，查看属性。

　　②核对是否具有【WRITABLE】属性；使用PE结构查看工具时，对照【IMAGE_SCN_MEM_WRITE】标志。

　　③记录没有可写属性的区段，再核对它们是否设置了内存保护排除项。

　　2、可写数据不能按固定内容检查

　　①选中【.data】、【.bss】或自定义数据区段，检查其可写属性。

　　②对照程序中的【全局变量】和【静态变量】，确认它们的存放位置。

　　③将正常运行中持续变化的数据单独列入测试记录，检查业务是否还需要额外的数据校验。

　　可写区段里的计数、状态和缓存会随程序运行变化，因此不属于这类不可变内容校验的范围。堆、栈和运行时分配的缓冲区，也不能因为调用了映像校验函数就视为已经覆盖。若要验证订单、配置或计算结果，应另设对应的数据检查。

　　3、排除设置会影响实际覆盖范围

　　①在区段列表中选中目标【区段】，检查其内存保护排除属性。

　　②取消没有明确用途的排除设置，保存【项目文件】并重新编译。

　　③对确实需要动态修改的【区段】保留说明，记录修改组件、触发时间和测试结果。

　　排除区段会缩小覆盖范围，不能只为消除报错就大面积排除。遇到热补丁、自修改代码或其他运行时改写行为，应先确认改写位置，再评估兼容处理。只读属性与排除设置需要一起看。

　　三、VMProtect内存映像校验结果异常如何核查

　　校验失败只表明检查范围内存在异常，函数本身不会返回出错区段和地址。排查时应保留同一构建产生的文件，避免把不同版本的输入、项目和输出混用。

　　1、确认运行的是受保护输出

　　①记录当前【EXE文件】或【DLL文件】的完整路径、构建时间与版本号。

　　②在测试代码中调用【VMProtectIsProtected()】，核对当前模块是否已经经过保护处理。

　　③运行对应的受保护文件，记录【VMProtectIsValidImageCRC()】的返回值和调用阶段。

　　④关闭旧进程后重新启动同一份【输出文件】，复测结果。

　　未保护程序中的SDK调用不能作为保护效果的验收依据。测试DLL时，还应核对宿主实际加载的文件路径，防止程序目录、插件目录中存在同名旧文件。

　　2、比较启动与功能执行前后的状态

　　校验位置应选在有实际意义的阶段。为了检查方便而在高频循环中反复调用，可能增加开销，也不便定位异常发生在哪一步。

　　①在初始化完成后调用一次【VMProtectIsValidImageCRC()】，记录耗时与结果。

　　②加载自有插件、初始化相关组件后，再调用【VMProtectIsValidImageCRC()】。

　　③按功能逐项测试，把返回值变化与【日志文件】中的操作记录对应起来。

　　④使用相同【项目配置】生成对照样本，比较启动耗时、功能耗时和异常出现阶段。

　　总结

　　VMProtect内存映像校验适合检查受保护模块中应保持不变的代码和数据，其作用范围由区段属性、排除设置及实际保护配置共同决定。验收时既要确认检查已经进入受保护程序，也要验证正常功能不会被误判。对于持续变化的业务数据，还需采用对应的数据校验方式，避免对一个返回值赋予过多含义。有相关需求，欢迎交流。