绕过SE的虚拟机检测

qq_24823461

于 2024-06-26 17:48:02 发布

阅读量254

点赞数 1

文章标签： windows

本文链接：https://blog.csdn.net/qq_24823461/article/details/139995102

版权

第一处：
特征码81 7D E4 68 58 4D 56
cmp dword ptr ss:[ebp-0x1Ch],0x564D5868h //把564D5868随便改一下就行了
jnz L0069B0FF
push -0x4h
pop eax
jmp L0069B101
L0069B0FF:
xor eax,eax
L0069B101:
call L006B3C4C
retn//这里把eax赋值0也可以
原理：in eax,dx这个大家都知道
第二处：
特征码55 8B EC 83 EC 14

    push ebp//直接mov eax,0  retn
    mov ebp,esp
    sub esp,0x14h
    push ebx
    push esi
    jmp L0069AFA9

第一个是检测注册表
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS]
“SystemManufacturer”=“VMware, Inc.”
564D5868h既是"VMware, Inc."ascii的hash值
这个注册表的好像会在重启之后被vmware恢复目前我的办法是写个.reg 每次启动虚拟机时手动覆盖一次

第二个检测是cpuid的1号功能 ecx的最高位
.vmx文件中添加
cpuid.1.ecx = “0111:1111:1101:1010:1111:1011:1011:1111”