试了很多方法无法过虚拟机检测
新人刚开始吾爱汇编，遇到一个FZ，查了一下无壳但是搜不到有用的字符串，想试一下push也搜不到push 10001，我想运行起来再调试，但是它可以检测到虚拟机
我试了搜到的方法，比如修改VMX文件和禁用二进制转换加速都没有用，我在自己的电脑上用OD打开，OD会显示终止，但是程序还在运行
请大神帮忙看看这个怎么才能过虚拟机检测
查毒链接 http://r.virscan.org/language/zh-cn/report/fe22b2b3ec0da84df4d0086119d065fc
分享链接 https://www.lanzouw.com/i5i31if
单步吧少年，F8到他提示虚拟机检测那里CALL下段如图1https://www.52hb.com/forum.php?mod=image&aid=117610&size=300x300&key=8784f6bd8b8b3cbe&nocache=yes&type=fixnone
第二不重载F7进CALL看到什么地方提示一直F7如图2
https://www.52hb.com/forum.php?mod=image&aid=117611&size=300x300&key=02ab69bc936be4bc&nocache=yes&type=fixnone
第三修改了然后单步出call F8就会发现有地方还是退出跟进call ret
https://www.52hb.com/forum.php?mod=image&aid=117612&size=300x300&key=eb20e3e6ecddcf7d&nocache=yes&type=fixnone
直接运行图4
https://www.52hb.com/forum.php?mod=image&aid=117613&size=300x300&key=a9d3ab6416dbf53a&nocache=yes&type=fixnone
liumeng 发表于 2019-8-10 13:31
单步吧少年，F8到他提示虚拟机检测那里CALL下段如图1
第二不重载F7进CALL看到什么地方提示一直F7如图2
我想再请问一下，那个检测虚拟机nop掉以后，退出call应该怎么处理，你说的跟进 ret我是新人没看太懂，我我按照恒大视频里的方法找退出call，找到了，但是上面没有一个跳可以跳过那个call，我把那个call nop掉就会出现你图片里的那种情况，一个空白的窗口，没法登陆调试什么的。 玩这个无壳的干啥 lrbm.bin改成lrbm.exe运行试试 零下10℃ 发表于 2019-8-11 16:37
玩这个无壳的干啥 lrbm.bin改成lrbm.exe运行试试
我试了一下 它会变回lrbm.bin，和原来一样没什么变化 叫你把lrbm.bin 改成 lrbm.exe 直接运行lrbm.exe 破lrbm.exe 干嘛纠结一个无壳的写出程序{:5_117:} mlnc0403 发表于 2019-8-11 15:41
我想再请问一下，那个检测虚拟机nop掉以后，退出call应该怎么处理，你说的跟进 ret我是新人没看太懂，我 ...
这个软件是不管怎么样他都退出的，所以下个退出断点，或者用最笨的方法就是nop检测虚拟机过后但不往下走看到什么地方退出就在哪里下段然后重载，F7进call看是到什么地方，我跟了直接调用退出，把这个call nop也可以，或者你 到401000 ------------FF25找到退出函数retn 是简称ret不管在用什么样都可以你心情美丽多打个n也没啥的懒的话就ret吧，具体最好学单步吧单步印象深刻等有点基础了在用快捷方式目前需要原理，多学习{:5_116:}{:5_116:} 玩魔力宝贝的人还是很多咩 XD 零下10℃ 发表于 2019-8-11 17:49
叫你把lrbm.bin 改成 lrbm.exe 直接运行lrbm.exe 破lrbm.exe 干嘛纠结一个无壳的写出程序
大佬 你能稍微指点一下从哪下手吗，我把那个bin改成exe试着逆向，但是我发现什么都找不到，而且这个连退出都断不下来 退出？SE壳检测虚拟机？
页:
[1]
2