26.4动态调试工具反调试反附加CM

忆魂丶天雷

首位挑战成功悬赏：100CB（达成要求后通过转账发放）


要求：
1.可以提供完整挑战录屏，在动态调试以及附加两种情况下均可正常运行程序，且点击[检测调试器]后提示未检测到调试器。
2.禁止直接修改弹窗内容等信息“伪造”挑战成功
3.禁止完全依靠虚拟机，驱动，插件等手段越过必要分析流程（这一条主要是避免那种直接丢反反调试虚拟机里 或者启动某些反反调试插件 然后直接运行说挑战成功 需要有必要的分析过程）

4.挑战范围仅支持x96dbg OllyDbg等动态调试工具 不支持Cheat Engine等调试 附加挑战



挑战地址:https://wwaxy.lanzouu.com/i33nP3o8pn3c

低vm挑战地址:https://wwaxy.lanzouu.com/iKYb73o97hbc

温馨提示：CM板块请勿随意灌水

Suppose

两处call返回值置0即可把程序运行起来，第一处是比父进程exe路径是否为“C:\\Windows\\explorer.exe”，第二处没仔细分析。



运行起来点击检测按钮：
通过某E模块的GetModuleHandle64以及GetProcAddress64获取了wow64cpu.dll中TurboDispatchJumpAddressStart函数地址
读取了9个字节用来判断是否被patch

忆魂丶天雷

忆魂丶天雷 发表于 2026-4-28 20:00
当首位挑战成功后将公开本CM中部分实现思路

反调试技巧:一种基于GUI线程环境快照的反调试方案
https://www.52pojie.cn/thread-2105397-1-1.html
(出处: 吾爱破解论坛)

忆魂丶天雷

当首位挑战成功后将公开本CM中部分实现思路

zhuhuo402

从Q来的 来拿CB了

忆魂丶天雷

zhuhuo402 发表于 2026-4-28 23:04
从Q来的 来拿CB了

提供一下完整挑战录屏即可

bian96

zhuhuo402 发表于 2026-4-28 23:04
从Q来的 来拿CB了

请及时回复楼主询问，不能提供材料支撑的话，将按照灌水处理。

忆魂丶天雷

Suppose 发表于 2026-4-29 00:33
两处call返回值置0即可把程序运行起来，第一处是比父进程exe路径是否为“C:\\Windows\\explorer.exe”，第 ...

处理逻辑完全正确，本CM中一共内置3种检测方式，其中挑战主要核心即为楼主定位的第一种。

虽说并不是直接检测父进程路径，但能定位到此处已经是到关键点了，稍后该检测流程思路将按照约定进行公开。

悬赏奖励100CB已通过“转账”进行下发

zhuhuo402

我这边直接分析了群里的低VM版，实际上没有区别的 因为都是变异没虚拟
0050C34C    E8 D3F1FFFF     call [CrackMe.0050B524  OD路径与explorer比较  返回值0即可
0050C012    E8 3560EFFF     call [CrackMe.0040204C 这个call nop掉
然后F9就能跑出窗口了
00411E56    F3:A4           rep movs byte ptr es:[edi],byte ptr ds:[esi]
复制字节，90 90 90 90 90 90 90 90 90
与8B C8 C1 E9 10 41 FF 24 CF 字节集比较 字节集正确返回假

zhuhuo402

bian96 发表于 2026-4-29 01:24
请及时回复楼主询问，不能提供材料支撑的话，将按照灌水处理。

回了回了