Антиотладка Vmprotect

instw0

Новичок
Сообщения
29
Реакции
1
Всем привет! Попробовал потрассировать последний vmprotect в x64dbg с модулем TitanHide... Отладчик уходит в какой то бесконечный цикл, есть какие то технологии или инструменты этот победить?

Антиотладка Vmprotect - Оффтоп
 

instw0

Новичок
Сообщения
29
Реакции
1
сделал порядка 1000+ шагов на ScyllaHide, TitanHide, SharpOD, нет ни одной инструкции CPUID или rtdsc, но трассировка гуляет по одному и тому же коду... хочется понять, что на этот раз придумали наши коллеги из vmprotect
 

Прикрепленные файлы:

_MBK_

Новичок
Сообщения
264
Реакции
65
Странно, обычно в вмпроте RTDSC в каждой микрокоманде натыканы
Возможно, вы не тот поток трассируете?
 

instw0

Новичок
Сообщения
29
Реакции
1
Странно, обычно в вмпроте RTDSC в каждой микрокоманде натыканы
Возможно, вы не тот поток трассируете?
ну как... запускаю главный поток и трассировку его включаю, гипервизор параллельно запущен на хуки cpuid и rtdsc, никаких ловушек не срабатывает
 

_MBK_

Новичок
Сообщения
264
Реакции
65
трассировку его включаю
Ну не знаю, трасса ж у вас есть, ее и анализируйте на какой развилке зацикливается. Хотя, писать трассу в лог в данном случае совсем нехорошая идея, надолго не хватает. Хотя для того чтоб чисто разобраться, где такты меряет, сойдет.
 

instw0

Новичок
Сообщения
29
Реакции
1
Ну не знаю, трасса ж у вас есть, ее и анализируйте на какой развилке зацикливается. Хотя, писать трассу в лог в данном случае совсем нехорошая идея, надолго не хватает. Хотя для того чтоб чисто разобраться, где такты меряет, сойдет.
так и делаю.... он гоняет по кругу одни и те же функции... Я тоже предположил, что они где то проверяют какой-нибудь "хитрой" ассемблерной командой трассировку, так как я просто не "вкуриваю" как еще можно обнаружить из кода трассировку

создатели протекта, наверное, сидят сейчас мониторят этот форум и злорадствуют....
 

_MBK_

Новичок
Сообщения
264
Реакции
65
Ну не знаю, насколько я помню, там все на RTDSC было построено. Если на трассе нет ни одного, отключите трассу и всплывайте в отладчике чуть спустя. Или вообще из отладчика не работает?
 

instw0

Новичок
Сообщения
29
Реакции
1
Ну не знаю, насколько я помню, там все на RTDSC было построено. Если на трассе нет ни одного, отключите трассу и всплывайте в отладчике чуть спустя. Или вообще из отладчика не работает?
с использованием titanhide работает из отладчика, но мне то нужно отследить в отладчике как он обнаруживает гипервизор... а как это сделать без трассировки, плюс гипервизор он обнаруживает как то очень хитро, я скрываю CPUID бит и RTDSC (проверяю в pafish)
 

_MBK_

Новичок
Сообщения
264
Реакции
65
Гм, то есть, я правильно понял, при подключенном плагине все таки работает нормально, но ваша задача определить, каким именно способом он щемит отладчик? Так насколько я помню, в опциях плагина (вмпротовский профиль) стоят галки на разных методах определения отладчика. Потыкайте их и найдете какой именно используется в вашем случае.
 

instw0

Новичок
Сообщения
29
Реакции
1
Гм, то есть, я правильно понял, при подключенном плагине все таки работает нормально, но ваша задача определить, каким именно способом он щемит отладчик? Так насколько я помню, в опциях плагина (вмпротовский профиль) стоят галки на разных методах определения отладчика. Потыкайте их и найдете какой именно используется в вашем случае.
он запускается и работает... но точки останова или трассировать по шагам не дает
 

_MBK_

Новичок
Сообщения
264
Реакции
65
Даже и не знаю, с первым вмпротом и не сталкивался никогда вживую. Попробуйте покурить туторы из этой темы, хотя, я что-то про первый и там ничего сходу не вижу.:unsure:
 

instw0

Новичок
Сообщения
29
Реакции
1
z
Даже и не знаю, с первым вмпротом и не сталкивался никогда вживую. Попробуйте покурить туторы из этой темы, хотя, я что-то про первый и там ничего сходу не вижу.:unsure:
я думаю, это не первый вмпрот, это какая то очередная "обманка"
 

_MBK_

Новичок
Сообщения
264
Реакции
65
Кстати, да, возможно
Виртуальная машина не похожа на вмпротовскую?
 

_MBK_

Новичок
Сообщения
264
Реакции
65
Ну я ж говорил, в той версии, которую я ковырял в последний раз, RTDSC буквально в каждой команде натыкано было.
Да вы доки почитайте, я думаю, многое понятнее станет
 

instw0

Новичок
Сообщения
29
Реакции
1
Ну я ж говорил, в той версии, которую я ковырял в последний раз, RTDSC буквально в каждой команде натыкано было.
Да вы доки почитайте, я думаю, многое понятнее станет
какие доки? к протекту?
 
Верх Низ