耗时两分钟做的暗桩

ganyilu

易语言CM，已经加了VM。没有反调试，没有有害代码。
能弹出消息框，就是成功。
单纯测试这个暗桩效果

代码和下载地址都附上
大佬告诉我一下，这样作为暗桩，有没有用。好不好处理
或者有没有更好，更有用的介绍一下。
源码696K，加VM后变成10.7M，这是我没想到的。

此暗桩用途，用于崩溃结束自身。如果用退出方式，OD会断下。然后就想到了这个。现在对OD是有用了，
但是X64DBG，会在异常断下，也不知道这有没有用。，好不好处理。
https://wwud.lanzouu.com/ikjhK378kvuf
密码:cfrq

.子程序 _按钮1_被单击

置入代码 ({ 235, 16, 86, 77, 80, 114, 111, 116, 101, 99, 116, 32, 98, 101, 103, 105, 110, 0 })

置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })
置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })

信息框 (自用动态解密 ({ 226, 170, 21, 143, 177, 129, 146, 21, 26 }), 0, , )

置入代码 ({ 235, 14, 86, 77, 80, 114, 111, 116, 101, 99, 116, 32, 101, 110, 100, 0 })

第一次发CM，考虑不周，越想越过分，见谅。
去掉所有VMP功能，只保留VM。
代码也仅剩一条。
https://wwud.lanzouu.com/ijMd7379c2mb
密码:27bc

.子程序 _按钮1_被单击

置入代码 ({ 235, 16, 86, 77, 80, 114, 111, 116, 101, 99, 116, 32, 98, 101, 103, 105, 110, 0 })  ' 这是VMP标记开始

置入代码 ({ 184, 1, 0, 0, 0, 199, 196, 0, 0, 0, 0, 232, 0, 0, 0, 0, 15, 11, 80, 235, 249, 142, 216, 184, 52, 18 })  ' 一条崩溃暗桩，是为了让程序推出的。

信息框 (自用动态解密 ({ 226, 170, 21, 143, 177, 129, 146, 21, 26 }), 0, , )  ' 信息框，如果被排掉暗桩，弹出消息框，说明暗桩被拔掉或者绕过了

置入代码 ({ 235, 14, 86, 77, 80, 114, 111, 116, 101, 99, 116, 32, 101, 110, 100, 0 })  ' 这是VMP标记结束

koutong

ganyilu 发表于 2025-9-30 21:38
延时响应，和不做反应，还有封号，这些都有的。只不过想试试这种没有API的暗桩。不好定位，加上VMP后，也 ...

其实你这段奔溃 就是一个异常，让esp 指向到0地址，exe就崩了，调试器调整设置让软件在异常断下，对寄存器修改一下就绕过了。相信我正确使用VM就已经拦住99%的人了，剩下的1%人怎么弄都是一样的。最后让我们站在巨人的肩膀上，无论是防破还是逆向自有泰斗出手，这圈子有几个人是正版VMP？又有几个人写出了还原插件。当然你要是志向有一个自己的虚拟机，当我没说哈哈哈

ganyilu

suprehero 发表于 2025-9-29 15:29
太强啦，我试了试，效果还是可以的

确实，比API，应该会好些。API没法VM，一个返回可能就解决了。

ganyilu

koutong 发表于 2025-9-30 15:11
有用但是不多，以前有个网络验证叫雷盾也是类似这样奔溃代替退出。最好的方式就是检测到破解或者盗版，单纯 ...

延时响应，和不做反应，还有封号，这些都有的。只不过想试试这种没有API的暗桩。不好定位，加上VMP后，也不好处理掉。RSA或者AES密钥加密也是不走API的，纯汇编实现，不好定位。密钥是加密存放的，使用前解密，使用完也覆盖掉明文。所有处理密钥的命令全是汇编实现且VM过。几乎没有薄弱的地方了。但总有些地方需要退出的，使用普通的退出，都要经过系统退出函数，很容易被处理掉，让程序继续存在被多次调试。所以就想整个很难处理的退出方法。比如输入密码错误，就直接退出，不给连续试错机会。起码得重新打开软件，多浪费些时间。在VM的加持下，想单步处理掉这么多跳转，时间成本会提高很多。。。而且这种置入代码，插入多条，每条虽然相同，但是加了VMP后就是不同的，还不能批量处理掉，你想象一下，本来VM单步处理就不太现实，再加上这个玩意。想想就觉得好玩。也就是说，只要改变一次跳转，肯定要F9运行试错，不然单单看跳转，他肯定是不知道是怎么样的。VM过的代码，哪怕不退出无限测试都难搞，还错一次就退出，难搞哦。心态直接爆炸。这也是我想知道这种东西能不能好不好被处理的原因。

Jone2008

我是来看看啥叫 暗桩来着

suprehero

太强啦，我试了试，效果还是可以的

zhooke

有点东西

shqyz

，简单实用，

koutong

有用但是不多，以前有个网络验证叫雷盾也是类似这样奔溃代替退出。最好的方式就是检测到破解或者盗版，单纯记录让功能不生效，不做响应。不要做退出，蓝屏，信息框这种带有提示的东西，因为一般触发这些东西就意味着你刚进行了判断，正确和失败就在这个暗装附近反而更好定位了。定位困难通常都是VMP带来的功劳。

aisht

暗装就是让你不知道什么时候触发了.
你这弹窗就很容易定位了.

分享一个我7~8年前的安装思路. 跟楼上的哥们思路很接近.
但我并不是完全用让功能失效.  而是...  间歇性失效.  也就是30%失效. 30%触发延迟 这种..
我判断暗装的地方比较早. 通常是加载的时候进行判断.  
所以我暗装的方式缺点是附加.... 附加后一切都正常.
这样也算是在某个角度扰乱debug...(?)

ganyilu

aisht 发表于 2025-9-30 18:46
暗装就是让你不知道什么时候触发了.
你这弹窗就很容易定位了.

想法确实不错。不过如果已经破解完。打补丁数据，没有载入和附加，也就不会触发了。