首页
社区
课程
招聘
[求助]vmp 3.3.1 的反调试【搞定,换了新电脑,换了x64dbg突然就能过去了】
发表于: 2020-5-26 19:31 14541

[求助]vmp 3.3.1 的反调试【搞定,换了新电脑,换了x64dbg突然就能过去了】

2020-5-26 19:31
14541

背景

已经在帝都大厂做财务工作八年了,最近突然想提升提升自己,学了python,学了英语口语,顺手破了一个英语学习软件,突然又燃起大学对逆向的兴趣。然后找了找目标,找到了一个下载网易云课堂的软件,虽然软件已经不能用了,但还是想看看他是怎么找的网易云课堂的API接口,然后自己用python实现以下,看能不能做个下载器。

过程

图片描述
win10 下反调试都过不了,用了SharpOD,SyllaHide都没有用,从youtube学了脱壳的教程,下了一系列检测调试器的API断点都没用,都会弹出MessageBox程序出错,反跟回去,一顿乱跳转,而且没有调用任何api,直接跳到程序出错的MessageBox。Attach到进程一点击按钮也会退出。

求助问题

请问各位大神如何过VMP反调试。不需要脱壳,只是想看看程序的设计,了解网易云课堂的网络接口。

备注

当然我也在尝试利用chrome开发者工具跟接口,但没有发现有效的接口。

 

欢迎大家讨论指导,不需要帮我破,只想了解下自己卡在反调试的哪个点了。看之前大神的理论,都要利用api才能反调试,利用了哪个api?


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

最后于 2020-5-30 19:43 被hpphpp编辑 ,原因:
上传的附件:
收藏
免费 0
支持
分享
最新回复 (20)
雪    币: 688
活跃值: (204)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2

VM反调试里面,调用NtQueryInformationProcess这个API的时候使用了[旁门左道的手法,

在64位程序里面使用32位的API,反之亦然.

理论上SharpOD插件是为VM这个反调试做了Ring3处理的,至于新版的VM我没有使用SharpOD测试过,

要对付这个特殊的SYSCALL处理,最佳的做法就是在Ring0里面拦截它.我是直接使用Ring0拦截它的.

2020-5-26 20:20
0
雪    币: 688
活跃值: (204)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
其实要看它如何调用远程的WEB API的话,最好的方式不是拦截网络连接么?
使用网络数据过滤软件监控下不是更方便?比如Fiddler,Wireshark和Microsoft Message Analyzer,这些软件.
2020-5-26 20:23
0
雪    币: 226
活跃值: (1419)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
flarejune 其实要看它如何调用远程的WEB API的话,最好的方式不是拦截网络连接么? 使用网络数据过滤软件监控下不是更方便?比如Fiddler,Wireshark和Microsoft Message Anal ...
可能是通过https加密方式传输的,wireshark抓不到
2020-5-26 20:31
0
雪    币: 688
活跃值: (204)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
HTTPS也可以拦截的,使用Fiddler吧,Fiddler更加易用,不用配置了,直接勾选拦截HTTPS选项就行了.
2020-5-26 20:33
0
雪    币: 226
活跃值: (1419)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
flarejune HTTPS也可以拦截的,使用Fiddler吧,Fiddler更加易用,不用配置了,直接勾选拦截HTTPS选项就行了.
哦哦,我试试。另外其实主要是碰到这个壳,又新学了一些脱壳技术,心痒难耐想试试。其实下不下载课程都变成其次了,
2020-5-26 21:58
0
雪    币: 226
活跃值: (1419)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
flarejune VM反调试里面,调用NtQueryInformationProcess这个API的时候使用了[旁门左道的手法,在64位程序里面使用32位的API,反之亦然.理论上SharpOD插件是为VM这个反调试做 ...

感谢感谢。

刚刚补学了下R0的东西,从github上下载了Windows-Kernel-Explorer

https://github.com/AxtMueller/Windows-Kernel-Explorer/tree/master/binaries


查了下确实发现了他有hook这个:NtQueryInformationProcess

但是程序里就是断不下来,不太了解用什么工具来做R0的拦截?能否在x64dbg里面实现?



2020-5-26 23:03
0
雪    币: 226
活跃值: (1419)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
hpphpp 哦哦,我试试。另外其实主要是碰到这个壳,又新学了一些脱壳技术,心痒难耐想试试。其实下不下载课程都变成其次了,[em_27]

下载了fiddler,配置了https,还是不能抓取到,不知道什么原因还是抓取不到



2020-5-26 23:39
0
雪    币: 1042
活跃值: (500)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
flarejune VM反调试里面,调用NtQueryInformationProcess这个API的时候使用了[旁门左道的手法,在64位程序里面使用32位的API,反之亦然.理论上SharpOD插件是为VM这个反调试做 ...
这个配色能分享下吗,很喜欢。
2020-5-27 01:23
0
雪    币: 1790
活跃值: (3786)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
10
SharpOD支持WIN10吗?或者支持1803以后的WIN10吗? 
2020-5-27 09:56
0
雪    币: 226
活跃值: (1419)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
拍拖 SharpOD支持WIN10吗?或者支持1803以后的WIN10吗?
从日志上看好像不支持,不知道是不是我系统的问题

[ScyllaHide] Failed to map image!
[SharpOD x64] inject kernel dll fail...
INT3 断点 "入口断点" 于 <网易云课堂课程下载器v2.51免费版.EntryPoint> (011C2EEA)!
[TITANHIDE] hiding 38E4 (14564d)
[TITANHIDE] could not open TitanHide handle
2020-5-27 11:41
0
雪    币: 688
活跃值: (204)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
Rookietp 这个配色能分享下吗,很喜欢。

可能外观稍微不同,因为我的X64DBG是经过订制修改过的

上传的附件:
2020-5-27 17:37
1
雪    币: 688
活跃值: (204)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
hpphpp 从日志上看好像不支持,不知道是不是我系统的问题 [ScyllaHide] Failed to map image! [SharpOD x64] inject kernel dll fail.. ...
TITANHIDE是两部分组成的,其中一个是驱动文件(.sys后缀名的),
你需要安装这个驱动才能使用TITANHIDE,而安装这些驱动的话,是需要过PG才行的,要不然会蓝屏.
至于怎么过PG,你去TITANHIDE的项目README里面有说到.
ScyllaHide和SharpOD可能有冲突,你使用其中一个吧.
2020-5-27 17:39
0
雪    币: 1519
活跃值: (2127)
能力值: ( LV3,RANK:35 )
在线值:
发帖
回帖
粉丝
14
windbg 的皮肤不错 
2020-5-27 17:49
0
雪    币: 259
活跃值: (283)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
666
2020-5-28 01:14
0
雪    币: 1042
活跃值: (500)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
flarejune 可能外观稍微不同,因为我的X64DBG是经过订制修改过的
3Q
2020-5-28 01:27
0
雪    币: 131
活跃值: (30)
能力值: (RANK:0 )
在线值:
发帖
回帖
粉丝
17
云上内容有多好?
不如去看数学书!
2020-6-15 09:39
0
雪    币: 259
活跃值: (283)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
mark
2020-6-15 14:51
0
雪    币: 244
活跃值: (174)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
楼主你是来码农社区捣乱的嘛?竞争已经那么激烈了。
2021-7-13 16:19
0
雪    币: 2203
活跃值: (217)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
20
喜欢玩角色扮演
2021-7-13 20:55
0
雪    币: 183
活跃值: (2576)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
21
hyperhide可以调
2021-10-24 23:54
0
游客
登录 | 注册 方可回帖
返回
//