首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 逆向工程
    3. 发新帖
[原创]记一次 VMP 对 TitanHide 的检测分析
发表于: 2026-3-22 16:43 14400

[原创]记一次 VMP 对 TitanHide 的检测分析

Crystal1 活跃值
2026-3-22 16:43
14400

记一次 VMP 对 TitanHide 的检测分析

VMProtect（简称 VMP）想必大家都很熟悉。随着其版本的不断迭代，高版本 VMP 的分析难度日益增加。

了解 TitanHide 的朋友应该都知道，它是一款基于 Ring 0 层、通过 HOOK SSDT 方式实现的开源反反调试驱动。

那么，VMP 究竟是依据什么来检测 TitanHide 的呢？又是如何完成这一检测过程的？在深入分析之前，我们先简单回顾一下 TitanHide 的基本原理。

许多用户可能已经用过或了解过 TitanHide。在分析过程中我发现，VMP 主要是通过对 TitanHide 的驱动设备符号（Device Symbol）进行检测来实现识别的。

核心代码如下：

起初我在分析 VMP 时，误以为它检测了其他特征，甚至尝试重新编写了一个驱动来规避，但最终确认其检测点正是上述的设备名称。

为了规避静态字符串扫描，VMP 采用了在栈上动态构造字符的方式。以下是具体的汇编逻辑：

VMP 逐字节将字符串 \\?\TitanHide 写入栈内存：

随后，代码计算字符串长度并构建 UNICODE_STRING 结构：

接着完成结构体的具体字段填充：

最后，构建用于文件操作的 OBJECT_ATTRIBUTES 结构：

跳过繁琐的结构初始化细节，直接关注最关键的部分：VMP 直接使用 syscall 指令调用 NtOpenFile API。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-3-22 17:32 被Crystal1编辑 ，原因： 调整格式
收藏
点赞 ・251
打赏
分享
最新回复 (166)
逆向爱好者
雪    币： 3557
活跃值： (7944)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
2 楼
牛逼牛逼
2026-3-22 16:49
0
Crystal1
雪    币： 123
活跃值： (1075)
能力值： ( LV2，RANK：19 )
在线值：
发帖
回帖
粉丝
私信
3 楼

感谢大家的支持

最后于 2026-3-22 17:04 被Crystal1编辑 ，原因：
2026-3-22 16:57
0
mb_dyszqxgj
雪    币： 32
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
4 楼
6
2026-3-22 17:05
0
Henglie
雪    币： 929
活跃值： (1501)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
哇，学到了！
2026-3-22 18:35
0
wx_q
雪    币： 0
活跃值： (1031)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
2026-3-22 18:52
0
mb_ykavguun
雪    币： 1313
活跃值： (1830)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
6
2026-3-22 19:05
0
fghtiger
雪    币： 1733
活跃值： (3538)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
谢谢分享
2026-3-22 19:57
0
FZ_W
雪    币： 22
活跃值： (615)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
谢谢分享
2026-3-22 19:57
0
mb_asiwnxyv
雪    币： 6
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
10 楼
谢谢分享
2026-3-22 20:53
0
万神fake
雪    币： 48
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
11 楼
谢谢楼主分享
2026-3-22 21:29
0
mb_upaxcbni
雪    币： 200
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
12 楼
感谢分享
2026-3-23 00:43
0
eb创屎人
雪    币： 37
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
13 楼
牛逼牛逼
2026-3-23 06:23
0
wzmooo
雪    币： 12583
活跃值： (4269)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
还有意思的对抗
2026-3-23 08:30
0
wx_王龙_452911
雪    币： 1407
活跃值： (1916)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
感谢分享
2026-3-23 09:04
0
rock
雪    币： 225
活跃值： (963)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
你的分享对大家帮助很大，非常感谢！
2026-3-23 09:10
0
lookzo
雪    币： 216
活跃值： (3517)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
666
2026-3-23 09:13
0
loveaixing
雪    币： 70
活跃值： (2033)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
18 楼
你的分享对大家帮助很大，非常感谢！
2026-3-23 09:21
0
mb_ksgpvuxc
雪    币： 0
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
19 楼
666
2026-3-23 13:57
0
huangjw
雪    币： 6747
活跃值： (11957)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
20 楼
pc的吗
2026-3-23 14:04
0
xingbing
雪    币： 158
活跃值： (5791)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
感谢分享
2026-3-23 16:24
0
星雨
雪    币： 310
活跃值： (664)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
感谢分享
2026-3-23 16:25
0
Hacker_0
雪    币： 237
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
23 楼

最后于 2026-3-23 16:29 被Hacker_0编辑 ，原因：
2026-3-23 16:29
0
拍拖
雪    币： 2790
活跃值： (7141)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
24 楼
感谢分享
2026-3-23 16:29
1
XCicada
雪    币： 3103
活跃值： (2705)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
25 楼
哇
2026-3-23 16:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回