26.4动态调试工具反调试反附加CM

忆魂丶天雷

首位挑战成功悬赏：100CB（达成要求后通过转账发放）


要求：
1.可以提供完整挑战录屏，在动态调试以及附加两种情况下均可正常运行程序，且点击[检测调试器]后提示未检测到调试器。
2.禁止直接修改弹窗内容等信息“伪造”挑战成功
3.禁止完全依靠虚拟机，驱动，插件等手段越过必要分析流程（这一条主要是避免那种直接丢反反调试虚拟机里 或者启动某些反反调试插件 然后直接运行说挑战成功 需要有必要的分析过程）

4.挑战范围仅支持x96dbg OllyDbg等动态调试工具 不支持Cheat Engine等调试 附加挑战



挑战地址:https://wwaxy.lanzouu.com/i33nP3o8pn3c

低vm挑战地址:https://wwaxy.lanzouu.com/iKYb73o97hbc

温馨提示：CM板块请勿随意灌水

Suppose

两处call返回值置0即可把程序运行起来，第一处是比父进程exe路径是否为“C:\\Windows\\explorer.exe”，第二处没仔细分析。



运行起来点击检测按钮：
通过某E模块的GetModuleHandle64以及GetProcAddress64获取了wow64cpu.dll中TurboDispatchJumpAddressStart函数地址
读取了9个字节用来判断是否被patch

忆魂丶天雷

当首位挑战成功后将公开本CM中部分实现思路

zhuhuo402

从Q来的 来拿CB了

忆魂丶天雷

zhuhuo402 发表于 2026-4-28 23:04
从Q来的 来拿CB了

提供一下完整挑战录屏即可

bian96

zhuhuo402 发表于 2026-4-28 23:04
从Q来的 来拿CB了

请及时回复楼主询问，不能提供材料支撑的话，将按照灌水处理。

忆魂丶天雷

Suppose 发表于 2026-4-29 00:33
两处call返回值置0即可把程序运行起来，第一处是比父进程exe路径是否为“C:\\Windows\\explorer.exe”，第 ...

处理逻辑完全正确，本CM中一共内置3种检测方式，其中挑战主要核心即为楼主定位的第一种。

虽说并不是直接检测父进程路径，但能定位到此处已经是到关键点了，稍后该检测流程思路将按照约定进行公开。

悬赏奖励100CB已通过“转账”进行下发