飘云阁

 找回密码
 加入我们

QQ登录

只需一步,快速开始

查看: 5466|回复: 4

[转贴] 快速过VMP3.x调试器虚拟机检测的方法

[复制链接]
  • TA的每日心情
    慵懒
    2020-10-10 21:51
  • 签到天数: 108 天

    [LV.6]常住居民II

    发表于 2018-4-13 22:39:23 | 显示全部楼层 |阅读模式
    作者:hkfans007

    VMP3.x 以上的版本的壳代码引入了一个标志位数值 Flags, 根据这个Flags值的位执行对应的事情。


    比如:
    and 2 = 2 表示检测用户层调试器
    and 4 = 4 表示检测内核调试器

    and 10 = 10 表示检测虚拟机


    只要将这个值修改为0,调试器和虚拟机检测甚至内存校验,文件校验都直接bypass.  ( ps: 写了这么多壳代码就这么简单就过了:)

    那么现在的问题是如何快速定位到这个值。这里介绍一种比较简单快速的方法,测试了几个程序都有效。


    如下图:

    207524-20180412234555079-887571915.png

    1. 首先下断点到LocalAlloc

    2. 中断下来后,在数据窗口CTRL+G输入ESP, 然后从这个地址开始搜索 当前模块加载基地址 如这里的 011C0000

        不过这里为了保险,防止搜索到多个结果,应该搜索 模块默认加载基地址 + 模块当前加载基地址 组合起来的8个字节

       如图中的: 00400000 + 011C0000


    3. 找到后修改下面的那个值为0即可, 如图中箭头所指。

    评分

    参与人数 2威望 +12 飘云币 +12 收起 理由
    yyjpcx + 12 + 4 PYG有你更精彩!
    wgz001 + 8 赞一个!

    查看全部评分

    PYG19周年生日快乐!
  • TA的每日心情
    开心
    2019-2-26 11:14
  • 签到天数: 459 天

    [LV.9]以坛为家II

    发表于 2018-4-14 01:02:04 | 显示全部楼层
    看到群里的表哥说:bp  LocalAlloc 然后堆栈中右键查找地址 输入基址   然后修改那个值为 0
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    昨天 21:38
  • 签到天数: 1359 天

    [LV.10]以坛为家III

    发表于 2018-4-14 10:20:54 | 显示全部楼层
    姿势过于强势,菜鸟表示顶不住!
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    昨天 03:16
  • 签到天数: 591 天

    [LV.9]以坛为家II

    发表于 2018-4-14 14:00:02 | 显示全部楼层
    关键是软件拉入OD就已经被识别出来了
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    无聊
    2024-1-18 18:26
  • 签到天数: 71 天

    [LV.6]常住居民II

    发表于 2018-4-24 16:33:25 | 显示全部楼层
    222.png
    自己理解是搜索0040000074FF0000 但是搜索不到.是错了么
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 加入我们

    本版积分规则

    快速回复 返回顶部 返回列表