一種快速過VMP3.x偵錯程式虛擬機器檢測的方法

VMP3.x 以上的版本的殼程式碼引入了一個標誌位數值 Flags, 根據這個Flags值的位執行對應的事情。 

比如：

and 2 = 2 表示檢測使用者層偵錯程式

and 4 = 4 表示檢測核心偵錯程式

and 10 = 10 表示檢測虛擬機器

只要將這個值修改為0，偵錯程式和虛擬機器檢測甚至記憶體校驗,檔案校驗都直接bypass。( ps: 寫了這麼多殼程式碼就這麼簡單就過了：）

那麼現在的問題是如何快速定位到這個值。這裡介紹一種比較簡單快速的方法，測試了幾個程式都有效。

如下圖：

1. 首先下斷點到LocalAlloc

2. 中斷下來後，在資料視窗CTRL+G輸入ESP, 然後從這個地址開始搜尋 當前模組載入基地址 如這裡的 011C0000 

不過這裡為了保險，防止搜尋到多個結果，應該搜尋 模組預設載入基地址 + 模組當前載入基地址 組合起來的8個位元組

如圖中的： 00400000 + 011C0000

3. 找到後修改下面的那個值為0即可， 如圖中箭頭所指。

本文由看雪論壇 hkfans 原創

轉載請註明來自看雪社群