求分析游戏登录器第二层验证机制

buildq

我想用写的exe绕过在FiveM 平台 第三方服务器的登录器
目前第一层 游戏盾 验证已成功复刻，但卡在第二层 登录器验证
说通俗点就是  这个登录器不开连加入游戏按钮都没 官方fivem平台会显示超时

已完成的工作
1. 游戏盾部分
  从原版登录器中提取出服务器专属的游戏盾 key（sdk_key），并接入自写程序。
  自写程序能正常初始化游戏盾，创建与原版一致的虚拟监听（如 127.3.69.113:30120），说明游戏盾隧道已打通。
  （ 这个方法我尝试过其他服务器 正常启动游戏 ）
2. 第二层验证的现象
原版登录器在本地额外监听 127.0.0.1:27432。
  FiveM 客户端会请求 GET /link?nonce=...，该 nonce 需要被处理。
我尝试在本地模拟这个 HTTP 接口返回相同格式的数据，但服务器仍提示“未检测到登陆器”。
3. 其他测试
先启动原版登录器通过验证，再关闭它并启动我的克隆版，连接会超时，无法接管会话。
原版登录器必须全程保持运行，否则验证失败。
4. 抓包发现
   在验证触发的 60 秒窗口内，原版登录器没有发出任何可识别的网络请求（包括普通 TCP/UDP 流量）。但登录器进程存在时验证能通过，关闭就失败。

推断

第二层验证可能不依赖实时网络通信，而是登录器在启动时从官方后端获取了账号专属密钥（保存在内存中）。收到 /link 请求后，登录器在本地对 nonce 进行签名或加密，返回给 FiveM，服务器再用相同密钥验证签名。由于签名在本地完成，所以抓包看不到新请求。

这可以解释为什么模拟 HTTP 返回无效——缺少正确的密钥，签名无法通过。

包含ai内容  新手勿喷🙏
软件使用vmp加固   卡巴斯基检测威胁高直接删除
此登录器存在病毒后门  请谨慎


求助问题
如何截取原版登录器在验证期间做的所有本地操作？
登录器有反调试/混淆，有没有绕过思路？
是否有其他方法可以复现或绕过这层验证？
或者求分析后门行为
软件链接https://wwbrg.lanzouv.com/i8w8e47kwf2b
密码:3pi5

第一张图的超玩成功绕过并进入  第二张为帖子中的失败

buildq

有大佬么

肚兜弟弟

你试试抓启动参数然后通过 cmd 环境变量传递进去启动吧，你写的太复杂了我看不懂

kulouxiaohai

源码分享一下看看。

buildq

肚兜弟弟 发表于 2026-9-10 08:35
你试试抓启动参数然后通过 cmd 环境变量传递进去启动吧，你写的太复杂了我看不懂

嗯我觉得应该是没多大作用的 这是个vmp3.5的壳 把这个脱壳了就都有了  但是我不会

buildq

kulouxiaohai 发表于 2026-9-10 11:46
源码分享一下看看。

这个没啥难度的

buildq

一、样本信息
文件名：钻石城登陆器V3.5.1.exe
SHA-256：A393F0FC8A1B47F44C63092F04E993791CD55AACE3C802C7DD4A839A3A945DD6
MD5：0929D946C87E0248AF147E8DA5D60F2D
大小：22,780,240 字节
数字签名：北京金海洋物业管理有限公司（Certum CA 颁发的代码签名证书）
用途：FiveM 私人服务器（钻石城/GTA5 RP）启动器
VT：8/72 检出，含 Trojan:Win64/Alien 等
https://www.virustotal.com/gui/file/a393f0fc8a1b47f44c63092f04e993791cd55aace3c802c7dd4a839a3a945dd6
保护壳：VMProtect 3.6+（疑似 3.9.x，行为符合最新版反调试特征）
二、保护强度
1. 直接系统调用：跳过 ntdll 用户态 stub，直接 syscall;ret（ntdll 中 471 处 0F 05 C3 全部被使用，常规 API hook 失效）。
2. VEH 异常分发检测：通过 KiUserExceptionDispatcher 路径检测 VEH 链完整性，并对 STATUS_SINGLE_STEP（硬件断点）做 BugCheck 式校验。
3. DebugObject 句柄枚举：启动后通过 NtQueryInformationProcess + NtQueryObject 遍历自身句柄表，发现 DebugObject 立即自退。
4. 线程自调试保护：NtSetInformationThread(ThreadHideFromDebugger) + 早期 TLS 回调。
传统用户态 hook 框架（frida、Cheat Engine 注入式 hook）几乎无法稳定拦截。
三、已尝试的方法（全部失败）
【1】Frida 17.16.4
  - 第 1 轮：Stalker 全量 trace + ntdll hook → VMP 在 ~0.02s 后跳出 Stalker 变换范围（VEH 路径），无 trace
  - 第 2 轮：扫描 syscall;ret (0F 05 C3) 471 处并尝试 Interceptor.attach → frida 17 拒绝在 syscall 指令字节处挂钩（unable to intercept function ... please file a bug），0/471 安装成功
  - 第 3 轮：注入 wine_get_version（看雪泄露的 VMP 源码后门）+ GetProcAddress/LdrGetProcedureAddress 改返回 → VMP 仍走直接 syscall，未触发后门分支，3 秒后闪退
  环境补丁：已尝试 patch KUSER_SHARED_DATA.NtBuildNumber（内核映射只读，access violation）和 PEB.OSBuildNumber=9999（写成功但无效）。

【2】TitanHide
  - 系统：Win10 19044，UEFI 关闭 Secure Boot + 测试签名模式已开启
  - 驱动安装成功，服务以 WinPcapDrv 伪装名注册（绕过 VMP 3.9.4+ 的默认服务名黑名单），STATE: 4 RUNNING
  - x64dbg 加载 TitanHide 插件，附加 PID 之前先在 TitanHideGUI 里点 Hide
  - 结果：附加瞬间 VMP 仍通过 DebugObject 句柄枚举识别出 x64dbg，弹出"有调试软件的行为，自动闪退"
  参考：吾爱破解 starsunyzl 公开反馈"只改驱动设备符号早就过不了最新 VMP，重新编译后仍然无法过"，推测 VMP 3.9.6+ 已加入对 TitanHide 已知签名/行为的二次校验。

【3】静态分析
  VMP 3.6+ 的虚拟化 VM（handler 表 + 加密 opcode）使得 IDA/Ghidra 反编译基本不可读，能看到的功能函数几乎全部是 VMP 调度器/handler，看不出业务逻辑。
四、求助方向
1. 有无人能提供过 VMP 3.6+/3.9.6+ DebugObject 枚举的实测绕过方案？已知 HyperHide、TitanHide 在最新版均失效。
2. 嵌套虚拟化（Proxmox + EPT 隐藏 + CPUID 伪装）是否有人实测过能稳定分析这类启动器？
3. HyperDbg 作为 hypervisor-based debugger，对 VMP VEH 路径的兼容性如何？
4. 看雪/52pojie 上有公开的 VMP 3.6+ 全自动 dump 方案（无调试器介入）吗？只看 IO 表 + 字符串的话业务代码仍不可见。
5. 是否有已知 IOC 列表（FiveM 启动器 + 北京金海洋物业管理有限公司签名）对应的远控家族？便于直接做归因。
五、参考链接
- 看雪《VMProtect 反调试源码分析》（泄露的 VMP 源码，wine_get_version 后门出处）：https://bbs.kanxue.com/
- 吾爱破解 TitanHide 改造讨论（starsunyzl：最新版 VMP 仍过不了）：https://www.52pojie.cn/
- VMProtect GitHub Issue #100（3.9.5+ 反调试讨论）：https://github.com/Protection-Enjoyer/VMProtect-Themida-Software-Defenders-ReversingList/issues/100
- HyperDbg 项目：https://github.com/HyperDbg/HyperDbg
- Proxmox + CPUID 隐藏参考：https://pve.proxmox.com/pve-docs/
- TitanHide 原始仓库：https://github.com/mrexodia/TitanHide
- Arkana（基于 x64dbg 的 VMP 调试辅助）：https://github.com/NotPrab/Arkana      看到其他人发的了 这么硬

Jx29

buildq 发表于 2026-9-10 22:01
一、样本信息
文件名：钻石城登陆器V3.5.1.exe
SHA-256：A393F0FC8A1B47F44C63092F04E993791CD55AACE3C80 ...

Titanhide是可以的哦，直接取消掉DebugObject就行，你都说了“VMProtect GitHub Issue #100（3.9.5+ 反调试讨论）”，没看到底下有解决方案吗？而且最新版作者已经修复了这个问题了，只是release没更新，要自己编译
HyperDbg 只支持intel，而且不太好用