首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[原创]过EAC HV检测
发表于: 2022-10-23 16:28 29135

[原创]过EAC HV检测

麦瑞鸭 活跃值
2022-10-23 16:28
29135

检测代码：

之前通过拦截vmread 向客户及注入异常发现无济于事（vmread后还有代码在检测HV），由于本人能力有限，跟不到后面的检测代码，于是就想出了一个办法过掉检测，这里给大家分享一下：


host拦截到vmread指令后，直接修改guest 的rip到自己的驱动代码里面让他一直循环，这样检测HV的这条线程就到vmread不会继续往下执行了。


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

最后于 2022-10-29 03:50 被麦瑞鸭编辑 ，原因： 错别字
收藏
免费 ・6
支持
分享
最新回复 (22)
麦瑞鸭
雪    币： 206
活跃值： (2036)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼 
FFFFF807D247DFC0 - C7 F8030000           - xbegin FFFFF807D247DFC8
FFFFF807D247DFC5 - 00 0F                 - add [rdi],cl
FFFFF807D247DFC7 - 01 D5                 - add ebp,edx
FFFFF807D247DFC9 - C3                    - ret 
FFFFF807D247DFCA - C7 F80A0000           - xbegin FFFFF807D247DFD9
FFFFF807D247DFCF - 00 8A 01FFD10F        - add [rdx+0FD1FF01],cl
FFFFF807D247DFD5 - 01 D5                 - add ebp,edx
FFFFF807D247DFD7 - B0 01                 - mov al,01
FFFFF807D247DFD9 - C3                    - ret 
FFFFF807D247DFDA - 32 C0                 - xor al,al
FFFFF807D247DFDC - C3                    - ret

这几处检测 vmread 似乎是最后面执行的，至于TSX cpuid invplg 这几处也搞不懂在检测个啥，原理是什么？

最后于 2022-10-23 16:40 被麦瑞鸭编辑 ，原因：
2022-10-23 16:39
0
~时光荏苒
雪    币： 5321
活跃值： (4803)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼

vmread 直接返回不支持这个功能注入异常不可以吗?还有包括一些别的VMxxx都是直接回返让它显示此计算机不支持VT

最后于 2022-10-23 17:15 被~时光荏苒编辑 ，原因：
2022-10-23 17:14
0
麦瑞鸭
雪    币： 206
活跃值： (2036)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
~时光荏苒 vmread 直接返回不支持这个功能注入异常不可以吗?还有包括一些别的VMxxx都是直接回返让它显示此计算机不支持VT
可以啊，但是你注入异常后只能 过掉 vmx指令的检测，他后面还有检测。
2022-10-23 17:20
0
麦瑞鸭
雪    币： 206
活跃值： (2036)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
~时光荏苒 vmread 直接返回不支持这个功能注入异常不可以吗?还有包括一些别的VMxxx都是直接回返让它显示此计算机不支持VT

除非你能把后面的检测HV的代码找到，否则你注入异常了也无济于事。

最后于 2022-10-23 17:22 被麦瑞鸭编辑 ，原因：
2022-10-23 17:20
0
~时光荏苒
雪    币： 5321
活跃值： (4803)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
https://secret.club/2020/04/13/how-anti-cheats-detect-system-emulation.html 你可以查考一下这个
2022-10-23 17:28
0
Chords
雪    币： 1522
活跃值： (2177)
能力值： ( LV3，RANK：35 )
在线值：
发帖
回帖
粉丝
私信
7 楼
tsx 是4 代到9代酷睿的一个多线程协同指令 默认关闭 用这个指令检测是因为这个指令触发handle的编号不同没办法捕获
2022-10-23 21:13
0
麦瑞鸭
雪    币： 206
活跃值： (2036)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
Chords tsx 是4 代到9代酷睿的一个多线程协同指令 默认关闭 用这个指令检测是因为这个指令触发handle的编号不同没办法捕获
原来如此，怪不得我在正常模式和vt模式跑出的结果都一样，12代
2022-10-23 22:25
0
小希希
雪    币： 1935
活跃值： (4185)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
mark
2022-10-24 10:11
0
mb_uarifven
雪    币： 192
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
10 楼
麦瑞鸭 FFFFF807D247DFC0 - C7 F8030000    &am ...
给个联系方式 我也在处理vt检测
2023-1-10 21:29
0
fengyunabc
雪    币： 3785
活跃值： (3947)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
11 楼
感谢分享
2023-1-21 11:46
0
漆黑火焰魔法使
雪    币： 0
活跃值： (46)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
HV是啥?
2023-2-3 09:11
0
baggiowo
雪    币： 516
活跃值： (1918)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
EASYANTICHEAT.SYS是怎么提取出来的?大神
2023-4-18 19:06
0
mb_punpkihu
雪    币： 8
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
14 楼
大佬有群吗 VT学习萌新
2023-4-29 01:13
0
mb_punpkihu
雪    币： 8
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
15 楼
不循环的话 能直接让这条线程结束吗 
2023-4-29 01:44
0
秋狝
雪    币： 3657
活跃值： (31046)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
mark
2023-4-29 12:24
0
麦瑞鸭
雪    币： 206
活跃值： (2036)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
mb_punpkihu 不循环的话 能直接让这条线程结束吗
我也在找组织唉，没有群，新手。  直接结束驱动就会卸载，应用层没有通讯也会一起结束。
2023-5-8 17:22
0
mb_punpkihu
雪    币： 8
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
18 楼
创建个群呗，然后往评论区发，我拉人进去
2023-5-14 17:09
0
AlexLoNe
雪    币： 265
活跃值： (1125)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
19 楼
思路清奇
2023-5-24 00:11
0
麻里麻里红
雪    币： 26
活跃值： (288)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
20 楼
大佬怎么拦截vmread指令呢 ，您能指点一下嘛，我也是用的hv
2024-9-29 12:30
0
麻里麻里红
雪    币： 26
活跃值： (288)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
麦瑞鸭 FFFFF807D247DFC0 - C7 F8030000    &am ...
大佬可以加个联系方式嘛
2024-9-29 12:34
0
麻里麻里红
雪    币： 26
活跃值： (288)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼


是这么干吗？但貌似还是被检测。。这个vmread指令是不是在最后才调，在这之前还有别的检测

2024-9-29 13:09
0
wx_空空
雪    币： 19
活跃值： (401)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
23 楼
麻里麻里红 是这么干吗？但貌似还是被检测。。这个vmread指令是不是在最后才调，在这之前还有别的检测
留个Q一起研究呀
2024-10-30 21:42
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//