안티디버그루틴과 같이 사용하면 좋을 것 같아서
찾게되었습니다.

그럴리가요 하하 ^0^

chpie // 새해 복많이 받으세요~

누구세요??

응.. 나도 편케 살고 싶어 ㅎㅎ

저도 예전에 구글링하다 위 델파이 소스를 본적이 있는것 같은데요. 아마 위 소스 코드는 원래는 C 코드 였는데 델파이 코드로 바꾼 걸겁니다.

여하튼 C언어로 한번 번역해보았습니다. 즐프하세요.

#include <stdio.h>
#include <excpt.h>

int __stdcall IsVMWarePresent()
{
int Result = 0;
__try
{
__asm
{
pushad
mov eax, 564D5868h
mov ebx, 00000000h
mov ebx, 00000000h
mov ecx, 0000000Ah
mov edx, 00005658h
in eax, dx
mov Result, ebx
}
if(Result == 0x564D5868)
{
return 1;
} else {
return 0;
}
} __except(EXCEPTION_EXECUTE_HANDLER)
{
}
return Result;
}

__declspec(naked) int __stdcall running_inside_vpc(void)
{
__asm
{
push ebp
mov ecx, offset exception_handler
mov ebp, esp
push ebx
push ecx
push dword ptr fs:[0]
mov dword ptr fs:[0], esp
mov ebx, 0
mov eax, 1
__emit 00Fh
__emit 03Fh
__emit 007h
__emit 00Bh

//lbl_continue:
mov eax, dword ptr ss:[esp]
mov dword ptr fs:[0], eax
add esp, 8
test ebx, ebx
setz al
lea esp, dword ptr ss:[ebp-4]
mov ebx, dword ptr ss:[esp]
mov ebp, dword ptr ss:[esp+4]
add esp, 8
jmp lbl_ret

exception_handler:
mov ecx, [esp+0Ch]
mov dword ptr [ecx+0A4h], -1
add dword ptr [ecx+0B8h], 4
xor eax, eax

lbl_ret:
ret
}
}

// 엔트리 포인트
int main(int argc, char **argv)
{
if(IsVMWarePresent() || running_inside_vpc())
{
printf("VM Running!\n";
} else {
printf("VM doesn't Running!\n";
}
return 0;
}

MUST // 모르는것은 부끄러운게 아닌거 같습니다. 저도 궁금하면 곧잘 질문하곤 합니다.
vbdream // 답변달기도 전에 벌써 답글을 올리셨군요.. 감사합니다 (_._)

seyool // 네. 그렇지요 ^^;

MUST // 참고적으로 이렇게 하는 것보단, 좀 더 편한 방법이 있는데요. Joanna Rutkowska가 발표한 Redpill의 기법을 이용하면 깔끔한 코드로 Virtual PC/VMWare/Parallels을 전부 감지할 수 있습니다.

SIDT [] 로 IDTR을 구해서 (전 이 명령어가 Ring3에서 됐다는게 매우 신기하더군요...^^ 주소값이 0xd1000000 이상인지 체크하는 테크닉으로 매우 쉽게 감지하더군요...^^; 참고하세요.

redpill 코드 인용 (살짝 손보셔야할듯... DEP를 고려해서):
int swallow_redpill () {
unsigned char m[2+4], rpill[] = "\x0f\x01\x0d\x00\x00\x00\x00\xc3";
*((unsigned*)&rpill[3]) = (unsigned)m;
((void(*)())&rpill)();
return (m[5]>0xd0) ? 1 : 0;
}

음...... 님이 도비님이셨네요 -_-;

왠만하면 떳떳하게 'masterdoby' 라고 하고 다녀주세요.