仔细一看  popfd  的指令数值就是  9D  ，  数据没有变。  只是显示问题？

               pushfd
               pushfd
               or                DWORD  PTR[esp],0x100
               popfd
               popfd

这样会主动触发一个单步异常，触发前挂一个异常捕获就可以捕获到这个异常了
一般是检测这个异常开始的时间和结束的时间  是否过大，大的话表示有调试器人为操作了
还有就是检测dr7寄存器是否有硬件断点。异常内可能还会有标记是否被运行过，在下面的代码检测标志位。

mudebug pushfd pushfd or DWORD PTR[esp],0x100 popfd popfd 这样会主动触发一个单步异常，触发前挂一个异常捕获就可以捕获到这个 ...

感谢指点，刚开始单步的时候，对两处pushfd  pushfd也比较奇怪，我试试。

noNumber 仔细一看  popfd  的指令数值就是  9D  ，  数据没有变。  只是显示问题？

确实与显示有关，之前使用x64dbg调试，换成OD，这部分显示为数据，但是能分析出指令：
00C7DDE1      .^\75  DD                  JNZ  SHORT  ulysses.00C7DDC0
00C7DDE3            E9                        DB  E9
00C7DDE4      >    61                        POPAD
00C7DDE5      .    9D                        POPFD
00C7DDE6      .    66:92                  XCHG  AX,DX
00C7DDE8      .    66:92                  XCHG  AX,DX
00C7DDEA      .    8BC0                    MOV  EAX,EAX
00C7DDEC      .    C645  9E  01        MOV  BYTE  PTR  SS:[EBP-0x62],0x1
00C7DDF0      .    70  07                  JO  SHORT  ulysses.00C7DDF9
00C7DDF2      .    7C  03                  JL  SHORT  ulysses.00C7DDF7
而且以数据显示。