过vmp3.x的虚拟机和调试器检测

admin · 发表于 2018-5-11 14:46:44

转自看雪论坛

VMP3.x 以上的版本的壳代码引入了一个标志位数值 Flags, 根据这个Flags值的位执行对应的事情。
比如：
and 2 = 2 表示检测用户层调试器
and 4 = 4 表示检测内核调试器

and 10 = 10 表示检测虚拟机

只要将这个值修改为0，调试器和虚拟机检测甚至内存校验,文件校验都直接bypass. ( ps: 写了这么多壳代码就这么简单就过了：）
那么现在的问题是如何快速定位到这个值。这里介绍一种比较简单快速的方法，测试了几个程序都有效。

如下图:

1. 首先下断点到LocalAlloc

2. 中断下来后，在数据窗口CTRL+G输入ESP, 然后从这个地址开始搜索当前模块加载基地址如这里的 011C0000
不过这里为了保险，防止搜索到多个结果，应该搜索模块默认加载基地址 + 模块当前加载基地址组合起来的8个字节
如图中的： 00400000 + 011C0000

3. 找到后修改下面的那个值为0即可，如图中箭头所指。

===================================================================================
以上是原理，还在别的论坛找到了一键处理工具分享给大家

在LocalAlloc断下以后打开工具输入进程名就可以处理了

S5`QFDKC6}XI]}2X~B@$$G0.png

下载地址.txt (87 Bytes, 下载次数: 20, 售价: 30 元宝)

ziyoulang168 · 发表于 2018-5-11 14:51:41

感谢师傅分享

		自动登录	找回密码
密码			立即注册

1401软件论坛总版规【新人必看】	如何正确发布收费帖子	加入vip系统学习仅需498元	免费获得1401软件安全论坛vip	开通本站VIP会员请联系QQ 564853771
论坛纪念优盘	Beyond EXE超强加密器V1.6	1401论坛破解工具包 2017-9-12	[破解班vip]入门篇	[破解班vip]基础篇
[破解班vip]脱壳篇	[破解班vip]实战篇	[破解班vip]网络验证篇	[破解班vip]零基础HOOK教程	[破解班vip]零基础易语言入门
[破解班vip]零基础c语言入门	[破解班vip]零基础Delphi编程入门	[破解班vip]寒假培训课程共7课	[破解班vip]破解提高篇	[破解班vip]易语言培训课程
[破解班vip]核心技术培训篇	[破解班vip]pe格式与pe操作	[破解班vip]2022全新封包-山寨-爆破全系列	[原创课程]c++单文档框架课程	[逆向班vip]汇编语句与反汇编基础
[逆向班vip]全自动扫雷辅助	[逆向班vip]手机模拟按键	[逆向班vip]植物大战僵尸辅助	广告位招租...	付费破解软件 +Q 564853771

[转载] 过vmp3.x的虚拟机和调试器检测

浏览过的版块

最佳新人

活跃会员

推广达人

宣传达人

灌水之王

突出贡献

吾爱富翁

论坛元老

在线王

已有小成

管理团队

破解班vip