ring-1权限过各种如vmp、se强壳、各种虚拟机检测的技术。

ZuoYuan

先说明，这个是的确是原创，虽然在其他论坛也有发过一模一样的帖子，但确实都是本人亲自创作，关于这个插件，我很少在网上看到有详细讲的帖子或者内容，希望我这次讲解能把hyperhide这个插件的所有内容讲清楚吧


运行环境： WIN10、VMware虚拟机、支持intel VT技术的CPU、WIN10虚拟机
涉及工具： x64dbg、hyperhide、hypervisor
教程类型：破解限制、反调试、插件工具安装使用、intel VT技术
是否讲解思路和原理：是
本帖纯属原创、经过本人的亲自实验、测试，本人记录的过程十分详细，出现的那些问题和注意事项也都是经过本人亲自试错才逐渐添加的，

1、首先本软件采用的是x64dbg平台我用的x86dbg的一个插件
这个插件是国外大神air14写的一个hypervisor及超级虚拟机架构的插件，该插件十分强大，采用了因特尔vt-x的技术，理论上已经达到了ring-1级别的权限，普通的ring0本的反调试在很大程度上都无法对该插件进行针对反制，本教程就是教会大家如何安装和使用该插件，并根据本人的英语水平简单翻译一下插件的各种功能。本人并非大佬，现在网上的一切网络验证都不会搞，但是首先想分析那些网络验证总得走出第一步对吧，那就是如何保证能够实现对这些具有反虚拟机、反调试的壳子、或者作者在软件里面自己写的一些反调试手段实现处理。

这个插件就牛逼在加入了可以实现不对虚拟机本身做任何处理（吧里面还有专门对虚拟机处理的成品内容），甚至安装了vmtools的情况下还能实现对任何软件的调试。
一般的反调试手段可能都没办法处理这个插件、甚至到了简单ring0级别的反调试手段可能都是可以处理的。


我发现在虚拟机中调试这些软件可以保存虚拟机快照，当恢复快照时，这些驱动和插件设置也不用重新加载，将这个插件的技术应用在配合虚拟机快照保持保存，可以极大的增加调试某个软件的效率。


拓展：
这个hyperhide的插件，包括里面的VT技术用到的驱动，如果对源码的开发理念进一步开发完善，可能现在市面上的一些游戏、网络验证、都是可以使用的（也许可以用来调试腾讯、网易的主流游戏，那就吊了）。

下面开始正题
1、win10虚拟机环境的安装
这个不用我多说吧，安装原版的win10镜像，特别要注意的是，安装成功后的win10系统一定要开启处理器虚拟化 intel vt-x或者amd-v这两个才能保证hyperhide的两个驱动能够正常运行。
安装好的虚拟机本身操作系统中不需要做任何处理，可以安装vmtools，这个不影响后面的驱动加载。


2、下面开始下载hyperhide插件，我是从官方的x64bgd官网的插件目录引导github界面进入的下载界面，因为air14大神已经开发好了hyperhide驱动，因此我就直接附链接成品软件下载地址了，如果要看源码的，请在github上搜索air14可以看到大神开发的所有项目，其中hyperhide就是他的开发，其中包括插件本身、hyperhide驱动、airhypervisor驱动（这个airhv.sys就是这个驱动文件一开始我也不知是什么意思，这个驱动非常重要，这个就是intel的vt技术核心开发，源码真的看得我一头雾水，可能大神的想法其他人都不懂吧），这两个驱动要正常运行必须要CPU支持vt、可能虚拟机、真机运行环境都需要支持。

下载地址
https://github.com/Air14/HyperHi ... yperHide_2021-10-14

下载这个就好了


3、hyperhide的使用方法
官方作者的使用文档

通过使用管理员权限在cmd中运行以下命令来打开测试签名模式（打开重新启动系统后）
bcdedit /set testsigning on
将 HyperHideDrv.sys 和 airhv.sys放入 C：\Windows\System32\drivers，然后打开存储库中的 Scripts 文件夹，并使用管理员权限执行 create.bat。为了打开两个驱动程序，请打开执行.bat具有管理员权限。如果要同时关闭 airhv 和 HyperHideDrv 执行.bat管理员权限（请记住在关闭驱动程序之前关闭所有 x64dbg/x32dbg 实例）。
32 位：将 HyperHide.ini 和 HyperHide.dp32 复制到 \x32\plugins\ 目录。
64 位：将 HyperHide.ini 和 HyperHide.dp64 复制到 \x64\plugins\ 目录。
若要检查 HyperHide 是否正常工作，请使用 DebugView。

以上百度翻译的教程、根据本人实际测试总结一下几点：
                a、开启windows测试模式（注意是虚拟机的，开启虚拟机的测试模式，就在虚拟机里面用管理员运行cmd命令就可以了），本身这两个驱动没有驱动签名，必须测试环境
                b、打开CPU vt 技术（intel 的叫vt-x amd叫vt-v 都差不多但是不管怎么样都要开启的）虚拟机、真机环境都需要
                c、复制两个驱动到c盘windows目录下面的system文件下driver目录下
                d、开启script文件里面的两个bat文件，off是关闭驱动可以不用开启、但是先要开启create后才能开启on，表示创建、和运行这个英文水平应该大家都有吧
正常启动了应该是这样的

这两个驱动都会显示开启状态、STATUES表示状态  后面数字为4 Runing表示开启成功、两个必须都成功开启了才能发挥插件的效果，少了任何一个都会在后续调试过程中触发功能无效或者直接蓝屏。



4、把hyperhide插件文件导入到x32dbg pluging目录下面，这个应该不用多说把，后缀应该是 dp32表示的是用的32位的调试器，因为现在大多网络验证好像基本都是32位的程序，64位的也是一样的操作，我就不多说了

放到这个目录下要有这两个文件，我用的是32位的调试器，虚拟机系统实际上是64位，因为调试的软件大多是32位的所以先就这样吧


5、可以启动hyperhide插件了

这个插件有两个功能
第一个option表示功能选项

第二个hypervisor not visible表示隐藏超级虚拟机管理器（这个非常建议开启），每次重新启动x32dbg都要开启一次，这样软件就没办法发现调试器了。注意hypervisor就是那个虚拟机管理内核（这相当于在这个虚拟机里面又加入了一个虚拟机，牛逼吧）

下面我来着重讲解hyperhide 的option及功能选项，进入options后第一个表示调试模式，其中可以选择调试哪些调试模式，比如针对vmp壳子的、针对themIDA的、然后default create process表示默认的从x32dbg打开文件的调试模式、default attach 表示用x32dbg 默认附加一个程序的调试模式，后面还有别的。
下面的选项表示的是处理了哪些函数，不同调试模式下勾选的处理函数都不一样、也可以自定义一个调试模式
比如我，创建了一个新的调试模式，我把下面所有的函数都勾选了，这样就牛逼了，可能这些函数的功能我不是每个都非常清楚，但是全部勾选可能调试过程中的蓝屏风险就会加大，毕竟这些函数的hook都是以理论上ring -1的权限来进行处理的，比常规的windows内核驱动ring0还牛逼。
根据每个人的需要，对这些函数进行不同的勾选、实际上这些不同的调试模式也就是这样的、他们也是根据那些不同的壳子检测的这些函数来对应的处理、我们也是一样、根据壳子不同的检测方式来勾选不同的处理函数就好了。

红色标出来的就是选择调试模式，这个create new profile 按钮就是表示的创建一个新的调试模式，选择hook下面的哪些函数，




好了，教程到此结束、些帖子不易，希望大佬们给点CB，让以后学破解吧的大佬们有更多的方式来处理反调试、反虚拟机的方法吧。
后面可能会出个视频讲下完整的安装方法，我目前就用了各种x64dbg的反调试插件，这个是最牛逼的，可能比驱动od的那些插件更吊吧毕竟用到了VT技术理论上据说已经实现了ring -1的级别了

Niay

aonima 发表于 2022-5-30 11:45
这个他就算想教也有心无力啊，其中涉及内核，还有vt
光其中一样就不是短时间能搞定的

好像也是啊。。。这些基础学起来就真的很多了。

dasabi80

为什么我开了测试模式还是提示
C:\Windows\system32>sc start airhv

SERVICE_NAME: airhv
        TYPE               : 1  KERNEL_DRIVER
        STATE              : 4  RUNNING
                                (STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)
        CHECKPOINT         : 0x0
        WAIT_HINT          : 0x0
        PID                : 0
        FLAGS              :

C:\Windows\system32>sc start HyperHideDrv
[SC] StartService 失败 2148204812:

证书已被颁发者直接吊销。


C:\Windows\system32>pause
请按任意键继续. . .

Niay

学习了，确实在其他论坛看到过，老大，考虑出个新手教程不

Niay

教驱动基础这些，配合实例，要不然有些学的不深的看不懂。。。。

aonima

Niay 发表于 2022-5-30 11:36
教驱动基础这些，配合实例，要不然有些学的不深的看不懂。。。。

这个他就算想教也有心无力啊，其中涉及内核，还有vt
光其中一样就不是短时间能搞定的

zyh666

我认识一个搞CF的已经用这个-1权限破CF的虚拟来调试了

小生帝王

C:\Users\Administrator\Desktop\Scripts>sc start airhv
[SC] StartService 失败 2:

系统找不到指定的文件。


C:\Users\Administrator\Desktop\Scripts>sc start HyperHideDrv
[SC] StartService 失败 31:

连到系统上的设备没有发挥作用。

文件放进去的啊 Create也是成功的 但是打开on.bat 提示找不到文件

sqxzxc

下载地址拉闸了

jupiter6

很不稳定这个插件 win7 win10虚拟机都是用一会就蓝

ZuoYuan

小生帝王 发表于 2022-5-30 14:30
C:%users\Administrator\Desktop\Scripts>sc start airhv
[SC] StartService 失败 2:

下载一个LeoMoonCPUV，检查一些CPU支不支持VT

必需两个都是勾才行