先说明,这个是的确是原创,虽然在其他论坛也有发过一模一样的帖子,但确实都是本人亲自创作,关于这个插件,我很少在网上看到有详细讲的帖子或者内容,希望我这次讲解能把hyperhide这个插件的所有内容讲清楚吧
运行环境: WIN10、VMware虚拟机、支持intel VT技术的CPU、WIN10虚拟机
涉及工具: x64dbg、hyperhide、hypervisor
教程类型:破解限制、反调试、插件工具安装使用、intel VT技术
是否讲解思路和原理:是
本帖纯属原创、经过本人的亲自实验、测试,本人记录的过程十分详细,出现的那些问题和注意事项也都是经过本人亲自试错才逐渐添加的,
1、首先本软件采用的是x64dbg平台我用的x86dbg的一个插件
这个插件是国外大神air14写的一个hypervisor及超级虚拟机架构的插件,该插件十分强大,采用了因特尔vt-x的技术,理论上已经达到了ring-1级别的权限,普通的ring0本的反调试在很大程度上都无法对该插件进行针对反制,本教程就是教会大家如何安装和使用该插件,并根据本人的英语水平简单翻译一下插件的各种功能。本人并非大佬,现在网上的一切网络验证都不会搞,但是首先想分析那些网络验证总得走出第一步对吧,那就是如何保证能够实现对这些具有反虚拟机、反调试的壳子、或者作者在软件里面自己写的一些反调试手段实现处理。
这个插件就牛逼在加入了可以实现不对虚拟机本身做任何处理(吧里面还有专门对虚拟机处理的成品内容),甚至安装了vmtools的情况下还能实现对任何软件的调试。
一般的反调试手段可能都没办法处理这个插件、甚至到了简单ring0级别的反调试手段可能都是可以处理的。
我发现在虚拟机中调试这些软件可以保存虚拟机快照,当恢复快照时,这些驱动和插件设置也不用重新加载,将这个插件的技术应用在配合虚拟机快照保持保存,可以极大的增加调试某个软件的效率。
拓展:
这个hyperhide的插件,包括里面的VT技术用到的驱动,如果对源码的开发理念进一步开发完善,可能现在市面上的一些游戏、网络验证、都是可以使用的(也许可以用来调试腾讯、网易的主流游戏,那就吊了)。
下面开始正题
1、win10虚拟机环境的安装
这个不用我多说吧,安装原版的win10镜像,特别要注意的是,安装成功后的win10系统一定要开启处理器虚拟化 intel vt-x或者amd-v这两个才能保证hyperhide的两个驱动能够正常运行。
安装好的虚拟机本身操作系统中不需要做任何处理,可以安装vmtools,这个不影响后面的驱动加载。
2、下面开始下载hyperhide插件,我是从官方的x64bgd官网的插件目录引导github界面进入的下载界面,因为air14大神已经开发好了hyperhide驱动,因此我就直接附链接成品软件下载地址了,如果要看源码的,请在github上搜索air14可以看到大神开发的所有项目,其中hyperhide就是他的开发,其中包括插件本身、hyperhide驱动、airhypervisor驱动(这个airhv.sys就是这个驱动文件一开始我也不知是什么意思,这个驱动非常重要,这个就是intel的vt技术核心开发,源码真的看得我一头雾水,可能大神的想法其他人都不懂吧),这两个驱动要正常运行必须要CPU支持vt、可能虚拟机、真机运行环境都需要支持。
下载地址
https://github.com/Air14/HyperHi … yperHide_2021-10-14
下载这个就好了
3、hyperhide的使用方法
官方作者的使用文档
通过使用管理员权限在cmd中运行以下命令来打开测试签名模式(打开重新启动系统后)
bcdedit /set testsigning on
将 HyperHideDrv.sys 和 airhv.sys放入 C:\Windows\System32\drivers,然后打开存储库中的 Scripts 文件夹,并使用管理员权限执行 create.bat。为了打开两个驱动程序,请打开执行.bat具有管理员权限。如果要同时关闭 airhv 和 HyperHideDrv 执行.bat管理员权限(请记住在关闭驱动程序之前关闭所有 x64dbg/x32dbg 实例)。
32 位:将 HyperHide.ini 和 HyperHide.dp32 复制到 \x32\plugins\ 目录。
64 位:将 HyperHide.ini 和 HyperHide.dp64 复制到 \x64\plugins\ 目录。
若要检查 HyperHide 是否正常工作,请使用 DebugView。
以上百度翻译的教程、根据本人实际测试总结一下几点:
a、开启windows测试模式(注意是虚拟机的,开启虚拟机的测试模式,就在虚拟机里面用管理员运行cmd命令就可以了),本身这两个驱动没有驱动签名,必须测试环境
b、打开CPU vt 技术(intel 的叫vt-x amd叫vt-v 都差不多但是不管怎么样都要开启的)虚拟机、真机环境都需要
c、复制两个驱动到c盘windows目录下面的system文件下driver目录下
d、开启script文件里面的两个bat文件,off是关闭驱动可以不用开启、但是先要开启create后才能开启on,表示创建、和运行这个英文水平应该大家都有吧
正常启动了应该是这样的
这两个驱动都会显示开启状态、STATUES表示状态 后面数字为4 Runing表示开启成功、两个必须都成功开启了才能发挥插件的效果,少了任何一个都会在后续调试过程中触发功能无效或者直接蓝屏。
4、把hyperhide插件文件导入到x32dbg pluging目录下面,这个应该不用多说把,后缀应该是 dp32表示的是用的32位的调试器,因为现在大多网络验证好像基本都是32位的程序,64位的也是一样的操作,我就不多说了
放到这个目录下要有这两个文件,我用的是32位的调试器,虚拟机系统实际上是64位,因为调试的软件大多是32位的所以先就这样吧
5、可以启动hyperhide插件了
这个插件有两个功能
第一个option表示功能选项
第二个hypervisor not visible表示隐藏超级虚拟机管理器(这个非常建议开启),每次重新启动x32dbg都要开启一次,这样软件就没办法发现调试器了。注意hypervisor就是那个虚拟机管理内核(这相当于在这个虚拟机里面又加入了一个虚拟机,牛逼吧)
下面我来着重讲解hyperhide 的option及功能选项,进入options后第一个表示调试模式,其中可以选择调试哪些调试模式,比如针对vmp壳子的、针对themida的、然后default create process表示默认的从x32dbg打开文件的调试模式、default attach 表示用x32dbg 默认附加一个程序的调试模式,后面还有别的。
下面的选项表示的是处理了哪些函数,不同调试模式下勾选的处理函数都不一样、也可以自定义一个调试模式
比如我,创建了一个新的调试模式,我把下面所有的函数都勾选了,这样就牛逼了,可能这些函数的功能我不是每个都非常清楚,但是全部勾选可能调试过程中的蓝屏风险就会加大,毕竟这些函数的hook都是以理论上ring -1的权限来进行处理的,比常规的windows内核驱动ring0还牛逼。
根据每个人的需要,对这些函数进行不同的勾选、实际上这些不同的调试模式也就是这样的、他们也是根据那些不同的壳子检测的这些函数来对应的处理、我们也是一样、根据壳子不同的检测方式来勾选不同的处理函数就好了。
红色标出来的就是选择调试模式,这个create new profile 按钮就是表示的创建一个新的调试模式,选择hook下面的哪些函数,
好了,教程到此结束、些帖子不易,希望大佬们给点CB,让以后学破解吧的大佬们有更多的方式来处理反调试、反虚拟机的方法吧。
后面可能会出个视频讲下完整的安装方法,我目前就用了各种x64dbg的反调试插件,这个是最牛逼的,可能比驱动od的那些插件更吊吧毕竟用到了VT技术理论上据说已经实现了ring -1的级别了