1320014053 发表于 2020-4-4 17:14

有没有大神会过这个检测虚拟机和检测调试的

查毒的链接 https://r.virscan.org/language/zh-cn/report/3444027857264772a9586f429c00231d
查壳的

我尝试用od打开就是出现了这个

我换了一个od之后虽然能过检测调试但是过不了检测虚拟机

有没有大神能教教我怎么过检测虚拟机
这里是文件下载链接 https://share.weiyun.com/5JQUiJ0

Nooby 发表于 2020-4-4 17:14

本帖最后由 Nooby 于 2020-4-4 17:45 编辑

关于绕过SE的虚拟机检测方法
第一处：
特征码81 7D E4 68 58 4D 56
      cmp dword ptr ss:,0x564D5868h //把564D5868随便改一下就行了
      jnz L0069B0FF
      push -0x4h
      pop eax
      jmp L0069B101
L0069B0FF:
      xor eax,eax
L0069B101:
      call L006B3C4C
      retn//这里把eax赋值0也可以
原理：in eax,dx这个大家都知道
第二处：
特征码55 8B EC 83 EC 14

      push ebp//直接mov eax,0retn
      mov ebp,esp
      sub esp,0x14h
      push ebx
      push esi
      jmp L0069AFA9

Only1Studio 发表于 2020-4-4 17:35


确保虚拟机在关闭的状态下，找到后缀为vmx的文件用记事本打开即可，然后加入两句：
monitor_control.restrict_backdoor = TRUE
disable_acceleration = TRUE然后重新运行虚拟机就可以了。

此方法会造成VMTools失效，就是无法拖动文件进去等等。可以在需要的时候加入或去除这两句。
过调试器的话可以选择比较强一点的OD 如一万三 ，一万八。
不要在OD打开的时候运行，要把程序拖进OD再运行。

Only1Studio 发表于 2020-4-4 17:45

Only1Studio 发表于 2020-4-4 17:35
确保虚拟机在关闭的状态下，找到后缀为vmx的文件用记事本打开即可，然后加入两句：
monitor_control.res ...

我试了一下你这个程序，竟然没用.......我过VMP虚拟机检测都是这样的。
页: [1]
查看完整版本: 有没有大神会过这个检测虚拟机和检测调试的