使用于VMP 394版本的CrackMe

adld

软件截图：


之前的VMP版本，NET加壳已经满地跑，但如果是之前的版本，再发帖子，也实在是没有什么意义。

现在发现新版的他的模式，有了很大的不同，但目前就不清楚他的强度如何了，搞这方向的大佬可以玩一玩。

1、数字是不报毒了。（似乎是突破不了云查杀）
2、反编译的代码模式也不同了。
3、加壳大小变大，之前的3.6X版本的，大小能控制在500-800KB左右，新版大小，到3MB左右。

查壳：


查毒：


反编译：


添加了虚拟化，未加变异，内部带了一个桩，破解出来密码即可。
软件：

SoftCracker

hszt 发表于 2025-9-18 10:51
通过一些调用，然后让ai分析规律，只是取巧，整个过程没管vmp，其他人继续，vmp搞不定

我平时都是先脱壳，几乎从来不会带壳分析，所以一开始我听你说vmp搞不定但能找到答案，我很惊讶，经过短暂的思考，我猜到你是怎么做到的了，你看我猜得对不对：
像这种简单的CrackMe，要判断输入的内容对不对，一般就是简单的字符串比较，所以我们可以在字符串比较处下断点，C#程序一般可以在string.Equals下断点，不过这个程序是VB.NET，要在Operators::CompareString处下断点
用dnSpy调试，下好断点，然后调试运行，随便输入一个字符串，比如test，然后点登陆，结果非常顺序，断下来了：


我们换个字符串试试，比如hello：


经过这两次测试，其实结论已经很明确了：
Encrypt("test") = "uftu"
Encrypt("hello") = "ifmmp"
而答案就是加密后结果为"63qpkjf_mbpebo"的输入：
Encrypt(input) = "63qpkjf_mbpebo"

由于加密写得过于简单，我甚至仅靠两组输入就能肉眼发现规律：hello中有两个l，加密后同样的位置是两个m，这似乎说明加密是一一对应的，而且m就是l的下一个字母，再仔细一看，还真是，这个算法仅仅是每一个字母换成它的下一个字母而已
别说AI了，连肉眼都能直接看出来，那答案就是把63qpkjf_mbpebo中的每一个字符往前推一个呗：52pojie^laodan，试了一下，结果居然不对？我去。调试一下：

结果发现^根本没有换成_，而其他的没问题，盲猜是字母和数字换成下一个，其他符号不变，所以答案应该是：52pojie_laodan
这次终于对了：


@hszt 我猜对了吗？

所以这个CrackMe被破解其实跟vmp的强度无关，甚至连AI都不需要用，单纯就是算法太简单而已。所以根本不能证明vmp难度不够，放心用vmp吧。

adld

hszt 发表于 2025-9-18 10:51
通过一些调用，然后让ai分析规律，只是取巧，整个过程没管vmp，其他人继续，vmp搞不定

是不是密码没有被虚拟化的问题，导致的原始密码泄露。
密码我似乎是没有添加虚拟化，通过AI，给分析出来了。
因为里面使用了凯撒密码的形式来走的，AI应该是能分析出来的。

huxian2020

这个有没有绿色版本的

hszt

通过一些调用，然后让ai分析规律，只是取巧，整个过程没管vmp，其他人继续，vmp搞不定

2031801Fox

有没有绿色版本

lyliucn

ai分析规律？能否详细讲一下怎么分析。

Tillagesoft

VMP 394加密，采用SDK加密那种，也能被破解了？

chenflyin

感谢楼主分享

qizhih

练习一下