首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 逆向工程
    3. 发新帖
[原创]记一次 VMP 对 TitanHide 的检测分析
发表于: 2026-3-22 16:43 3783

[原创]记一次 VMP 对 TitanHide 的检测分析

Crystal1 活跃值
2026-3-22 16:43
3783

记一次 VMP 对 TitanHide 的检测分析

VMProtect（简称 VMP）想必大家都很熟悉。随着其版本的不断迭代，高版本 VMP 的分析难度日益增加。

了解 TitanHide 的朋友应该都知道，它是一款基于 Ring 0 层、通过 HOOK SSDT 方式实现的开源反反调试驱动。

那么，VMP 究竟是依据什么来检测 TitanHide 的呢？又是如何完成这一检测过程的？在深入分析之前，我们先简单回顾一下 TitanHide 的基本原理。

许多用户可能已经用过或了解过 TitanHide。在分析过程中我发现，VMP 主要是通过对 TitanHide 的驱动设备符号（Device Symbol）进行检测来实现识别的。

核心代码如下：

起初我在分析 VMP 时，误以为它检测了其他特征，甚至尝试重新编写了一个驱动来规避，但最终确认其检测点正是上述的设备名称。

为了规避静态字符串扫描，VMP 采用了在栈上动态构造字符的方式。以下是具体的汇编逻辑：

VMP 逐字节将字符串 \\?\TitanHide 写入栈内存：

随后，代码计算字符串长度并构建 UNICODE_STRING 结构：

接着完成结构体的具体字段填充：

最后，构建用于文件操作的 OBJECT_ATTRIBUTES 结构：

跳过繁琐的结构初始化细节，直接关注最关键的部分：VMP 直接使用 syscall 指令调用 NtOpenFile API。

回复或点赞可查看完整内容

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！

最后于 2026-3-22 17:32 被Crystal1编辑 ，原因： 调整格式
收藏
免费 ・135
支持
分享
最新回复 (72)
逆向爱好者
雪    币： 3118
活跃值： (6903)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
2 楼
牛逼牛逼
2026-3-22 16:49
0
Crystal1
雪    币： 75
活跃值： (605)
能力值： ( LV2，RANK：19 )
在线值：
发帖
回帖
粉丝
私信
3 楼

感谢大家的支持

最后于 2026-3-22 17:04 被Crystal1编辑 ，原因：
2026-3-22 16:57
0
mb_dyszqxgj
雪    币： 4
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
4 楼
6
2026-3-22 17:05
0
Henglie
雪    币： 460
活跃值： (655)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
哇，学到了！
2026-3-22 18:35
0
wx_q
雪    币： 0
活跃值： (701)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
2026-3-22 18:52
0
mb_ykavguun
雪    币： 441
活跃值： (690)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
6
2026-3-22 19:05
0
fghtiger
雪    币： 792
活跃值： (2594)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
谢谢分享
2026-3-22 19:57
0
FZ_W
雪    币： 0
活跃值： (390)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
谢谢分享
2026-3-22 19:57
0
mb_asiwnxyv
雪    币： 6
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
10 楼
谢谢分享
2026-3-22 20:53
0
万神fake
雪    币： 51
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
11 楼
谢谢楼主分享
2026-3-22 21:29
0
mb_upaxcbni
雪    币： 200
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
12 楼
感谢分享
2026-3-23 00:43
0
eb创屎人
雪    币： 37
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
13 楼
牛逼牛逼
2026-3-23 06:23
0
wzmooo
雪    币： 12092
活跃值： (3769)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
还有意思的对抗
2026-3-23 08:30
0
wx_王龙_452911
雪    币： 1197
活跃值： (1696)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
感谢分享
2026-3-23 09:04
0
rock
雪    币： 225
活跃值： (723)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
你的分享对大家帮助很大，非常感谢！
2026-3-23 09:10
0
lookzo
雪    币： 216
活跃值： (2892)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
666
2026-3-23 09:13
0
loveaixing
雪    币： 76
活跃值： (1613)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
18 楼
你的分享对大家帮助很大，非常感谢！
2026-3-23 09:21
0
mb_ksgpvuxc
雪    币： 0
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
19 楼
666
2026-3-23 13:57
0
huangjw
雪    币： 5962
活跃值： (10677)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
20 楼
pc的吗
2026-3-23 14:04
0
xingbing
雪    币： 155
活跃值： (4426)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
感谢分享
2026-3-23 16:24
0
星雨
雪    币： 248
活跃值： (380)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
感谢分享
2026-3-23 16:25
0
Hacker_0
雪    币： 230
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
23 楼

最后于 2026-3-23 16:29 被Hacker_0编辑 ，原因：
2026-3-23 16:29
0
拍拖
雪    币： 2790
活跃值： (6053)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
24 楼
感谢分享
2026-3-23 16:29
0
a'ゞCicada
雪    币： 1855
活跃值： (1865)
能力值： ( LV4，RANK：40 )
在线值：
发帖
回帖
粉丝
私信
25 楼
哇
2026-3-23 16:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回