一种快速过VMP3.x调试器虚拟机检测的方法

hkfans007 · 发表于 2018-4-12 23:29

本帖最后由 hkfans007 于 2018-6-5 14:59 编辑

一种快速过VMP3.x调试器虚拟机检测的方法
一种快速过VMP3.x调试器虚拟机检测的方法
一种快速过VMP3.x调试器虚拟机检测的方法

风吹屁屁凉 · 发表于 2018-7-17 15:25

大神回复的内容没有了，找到原文备份一下：

VMP3.x 以上的版本的壳代码引入了一个标志位数值 Flags, 根据这个Flags值的位执行对应的事情。

比如：
and 2 = 2 表示检测用户层调试器
and 4 = 4 表示检测内核调试器
and 10 = 10 表示检测虚拟机

只要将这个值修改为0，调试器和虚拟机检测甚至内存校验,文件校验都直接bypass. ( ps: 写了这么多壳代码就这么简单就过了：）
那么现在的问题是如何快速定位到这个值。这里介绍一种比较简单快速的方法，测试了几个程序都有效。

如下图:

1. 首先下断点到LocalAlloc

2. 中断下来后，在数据窗口CTRL+G输入ESP, 然后从这个地址开始搜索当前模块加载基地址如这里的 011C0000
不过这里为了保险，防止搜索到多个结果，应该搜索模块默认加载基地址 + 模块当前加载基地址组合起来的8个字节
如图中的： 00400000 + 011C0000

3. 找到后修改下面的那个值为0即可，如图中箭头所指。

dstboy · 发表于 2018-6-26 00:31

我也来看看哈哈~

冰布 · 发表于 2018-5-6 11:30

学习了大佬

anhkgg · 发表于 2018-4-13 09:15

牛逼，你这一说感觉vmp好弱

苏紫方璇 · 发表于 2018-4-13 08:40

方法简单明了，膜拜大神

「浮光」/影★ · 发表于 2018-4-12 23:42

有点东西，，，，这个666

aspirer · 发表于 2018-4-13 00:00

前辈强势插入对楼主表示感谢
前2天想带壳看看某XX软件，一开就提示有调试器，用那个STONGOD插件也没用
感谢楼主了
明天早起试试看

fyr1980fyr · 发表于 2018-4-13 00:11

这个也太666了，那么快搞定

610100 · 发表于 2018-4-13 00:18

膜拜，厉害啊，大神

gunxsword · 发表于 2018-4-13 00:23

这个6啊,不知道效果如何,先收藏,有机会试试!

Ku_zi · 发表于 2018-4-13 02:01

谢谢分享回头试试

金化铯 · 发表于 2018-4-13 02:18

我擦 666 回头试试

yikuaidao · 发表于 2018-4-13 08:03

这都被你看出来了

Hmily · 发表于 2018-4-13 08:07

666，想以前过zp加密的选项也是类似标志位控制，置0就全过了。

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 一种快速过VMP3.x调试器虚拟机检测的方法

免费评分

本帖被以下淘专辑推荐: