Вопрос Вопрос по поводу отладки программы с vmprotect

[Pozdnyakov]

вопрос, я ставлю rip на инициализацию виртуальной машины, пробую зайти в диспетчер через call, но стабильно ловлю file corrupted. scyllahide с профилем vmprotect подцеплен, hwbp юзаю, int3 не ставлю. vmp все еще как то палит отладчик. знает кто как еще?

 

[akurise]

Посмотреть вложение 330987
вопрос, я ставлю rip на инициализацию виртуальной машины, пробую зайти в диспетчер через call, но стабильно ловлю file corrupted. scyllahide с профилем vmprotect подцеплен, hwbp юзаю, int3 не ставлю. vmp все еще как то палит отладчик. знает кто как еще?

заренейми дебагер)

 

[Pozdnyakov]

заренейми дебагер)

не спасает

 

[kumala4]

Посмотреть вложение 330987
вопрос, я ставлю rip на инициализацию виртуальной машины, пробую зайти в диспетчер через call, но стабильно ловлю file corrupted. scyllahide с профилем vmprotect подцеплен, hwbp юзаю, int3 не ставлю. vmp все еще как то палит отладчик. знает кто как еще?

какая это версия vmp

 

[Pozdnyakov]

какая это версия vmp

самая ластовая

 

[kumala4]

самая ластовая

именно какая

 

[Pozdnyakov]

именно какая

 

[kumala4]

Посмотреть вложение 331014

ScyllaHide как минимум с 3.8.7 не байпасит вмп, и очень вряд-ли что будет

 

[Pozdnyakov]

ScyllaHide как минимум с 3.8.7 не байпасит вмп, и очень вряд-ли что будет

то есть вариков на данный момент для обхода анти-дебага ваще никаких нет?

 

[exerciseweaxzx]

то есть вариков на данный момент для обхода анти-дебага ваще никаких нет?

hyperhide можешь попробовать

 

[lucas_offline]

то есть вариков на данный момент для обхода анти-дебага ваще никаких нет?

Только kernel anti-anti-debug плагины, или если очень хочется то можно приспособиться к HyperDbg

 

[Awesome Member]

Посмотреть вложение 330987
вопрос, я ставлю rip на инициализацию виртуальной машины, пробую зайти в диспетчер через call, но стабильно ловлю file corrupted. scyllahide с профилем vmprotect подцеплен, hwbp юзаю, int3 не ставлю. vmp все еще как то палит отладчик. знает кто как еще?

Обычно такое сообщение всплывает, когда нарушена CRC, склонен предполагать, что не только в анти-дебаге дело

 

[kumala4]

hyperhide можешь попробовать

симулятор БСОД'а, легче уже титанхайд модифицировать

 

[kumala4]

hwbp юзаю, int3 не ставлю

а это что такое, а?

 

[exerciseweaxzx]

симулятор БСОД'а, легче уже титанхайд модифицировать

что там бсодить должно если оно на гипервизоре работает

 

[kumala4]

что там бсодить должно если оно на гипервизоре работает

не знаю, когда ставил то там либо не поддерживалось из-за проца моего (amd), либо просто в пизду всё летело, разве оно стоит того?

 

[exerciseweaxzx]

не знаю, когда ставил то там либо не поддерживалось из-за проца моего (amd), либо просто в пизду всё летело, разве оно стоит того?

в репозитории написано, что драйвер работает только на интеле

из-за гипервизора (airhv), который сделан под интеловский ept

хз зачем покупать амд процессор, если ты как-то связан с реверсом, да и если уж говорить про МОДИФИЦИРОВАНИЕ ТИТАНХАЙДА, то как ты собрался его переделывать под вмп, если там нужно отлавливать ексепшены и dr регистры зачищать из контекста потока)) к этому ещё титанхайд хукает сисколлы через ссдт, в общем кернел патчится и тут и там, и тебя рано или поздно бсоднет за такие выкрутасы
1 клик патчгвард дизейблера в паблике нет, только ефигвард для которого нужно отрубать секьюр бут (костыли )

 

[kumala4]

в репозитории написано о том, что драйвер работает только на интеле
Посмотреть вложение 331200
из-за гипервизора (airhv), который сделан под интеловский ept
хз зачем покупать амд процессор, если ты как-то связан с реверсом

даже на интеле бсоды ловил

 

[exerciseweaxzx]

даже на интеле бсоды ловил

хз не понимаю о чем ты, недавно относительно (неделю назад) на 11 25h2 винде запускал, все нормально было, ничего не бсодало

 

[colby57]

хз зачем покупать амд процессор, если ты как-то связан с реверсом

???????????????????????????????????????????????? chto blyat

да и если уж говорить про МОДИФИЦИРОВАНИЕ ТИТАНХАЙДА, то как ты собрался его переделывать под вмп, если там нужно отлавливать ексепшены и dr регистры зачищать из контекста потока))

буквально один хук нужен для этого в ядре

Посмотреть вложение 330987
вопрос, я ставлю rip на инициализацию виртуальной машины, пробую зайти в диспетчер через call, но стабильно ловлю file corrupted. scyllahide с профилем vmprotect подцеплен, hwbp юзаю, int3 не ставлю. vmp все еще как то палит отладчик. знает кто как еще?

мужик у тебя на скриншоте мемори бряк стоит, сопоставь ошибку связанную с повреждением файла и с тем, что ты бряк на колл поставил