主函数大致逻辑如下：

int __cdecl main(int argc, const char **argv, const char **envp)
{
  FILE *v3; // eax
  HANDLE v4; // eax
  int v11; // [esp+C4h] [ebp-A8h]
  DWORD v12; // [esp+D4h] [ebp-98h]
  LPCSTR lpFileName; // [esp+D8h] [ebp-94h]
  BOOL pbDebuggerPresent; // [esp+DCh] [ebp-90h]
  int v15; // [esp+E0h] [ebp-8Ch]
  int v16; // [esp+E4h] [ebp-88h]
  int i; // [esp+E8h] [ebp-84h]
  int v18; // [esp+ECh] [ebp-80h]
  int v19; // [esp+F0h] [ebp-7Ch]
  char v20[4]; // [esp+F8h] [ebp-74h]
  int v21; // [esp+108h] [ebp-64h]
  char v22; // [esp+10Ch] [ebp-60h]
  char v23; // [esp+10Dh] [ebp-5Fh]
  CPPEH_RECORD ms_exc; // [esp+154h] [ebp-18h]

  v22 = 0;
  memset(&v23, 0, 0x3Fu);
  v21 = 1;
  printf("Input password >");
  v3 = (FILE *)sub_40223D();
  fgets(&v22, 64, v3);
  strcpy(v20, "I have a pen.");
  v21 = strncmp(&v22, v20, 0xDu);
  if ( !v21 )
  {
    puts("Your password is correct.");
    if ( IsDebuggerPresent() == 1 )             // API反调试
    {
      puts("But detected debugger!");
      exit(1);
    }
    if ( sub_401120() == 0x70 )                 // 检测NtGloabalFlag
    {
      puts("But detected NtGlobalFlag!");
      exit(1);
    }
    v4 = GetCurrentProcess();
    CheckRemoteDebuggerPresent(v4, &pbDebuggerPresent);
    if ( pbDebuggerPresent )                    // API反调试
    {
      printf("But detected remotedebug.\n");
      exit(1);
    }
    v12 = GetTickCount();                       // 返回启动到现在的毫秒数
    for ( i = 0; i == 100; ++i )                // sleep 100毫秒
      Sleep(1u);                                // 时间差检测
    v15 = 1000;
    if ( GetTickCount() - v12 > 1000 )          // 时间差大于1000 则明显存在调试
    {
      printf("But detected debug.\n");
      exit(1);
    }
    lpFileName = "\\\\.\\Global\\ProcmonDebugLogger";
    if ( CreateFileA("\\\\.\\Global\\ProcmonDebugLogger", 0x80000000, 7u, 0, 3u, 0x80u, 0) != (HANDLE)-1 )// 检测程序ProcessMonitor
                                                // 3代表仅在文件存在时打开，如果不存在打开失败返回2
    {
      printf("But detect %s.\n", &lpFileName);
      exit(1);
    }
    v11 = sub_401130();
    if ( v11 == 1 )
    {
      printf("But detected Ollydbg.\n");
      exit(1);
    }
    if ( v11 == 2 )
    {
      printf("But detected ImmunityDebugger.\n");
      exit(1);
    }
    if ( v11 == 3 )
    {
      printf("But detected IDA.\n");
      exit(1);
    }
    if ( v11 == 4 )
    {
      printf("But detected WireShark.\n");
      exit(1);
    }
    if ( sub_401240() == 1 )                    // 这是 VMware 的一个 "后门"I/O 端口, 0x5658 = "VX". 如果程序在 VMware 内运行, 
                                                // 
                                                // 程序使用In指令通过0x5658端口读取数据时, EBX寄存器的值就会变为0x564D5868(0x564D5868 == "VMXh")
    {
      printf("But detected VMware.\n");
      exit(1);
    }
    v16 = 1;
    v19 = 1;
    v18 = 1 / 0;                                // 触发异常
    ms_exc.registration.TryLevel = -2;          // 解除异常
    printf("But detected Debugged.\n");
    exit(1);
  }
  printf("password is wrong.\n");
  return 0;
}

程序逻辑大致为，输入I have a pen.之后程序进行一些列检测，最后会触发异常。

调试

1.IsDebuggerPresent()

由于strongOD效果对其进行绕过

2.NtGloabalFlag检测

strongOD效果直接绕过

3.CheckRemoteDebuggerPresent()

修改跳转对其进行绕过

4.时间差检测

利用GetTickCount函数来检测其中是否下断点进行调试。

5.ProcessMonitor检测

这里通过检测设备文件\\.\Global\ProcmonDebugLogger来检测ProcessMonitor

6.进程名检测

利用函数CreateToolhelp32snapshot(2,0)获取快照中所有进程，并依次匹配

7.VMWARE检测

是 VMware 的一个 "后门"I/O 端口, 0x5658 = "VX". 如果程序在 VMware 内运行, 程序使用In指令通过0x5658端口读取数据时, EBX寄存器的值就会变为0x564D5868(0x564D5868 == "VMXh")

8.异常调试

首先调试到触发异常这

然后对KiUserExceptionDispatcher下断点，运行至此。之后进入RtlDispatchException（异常分发函数）

异常调用的流程为VEH->SEH->ZWcontinue

该函数调用了VEH，F7单步进入之后程序并没有调用VEH。继续向下走。遇见函数RtlpExecuteHandlerForException此处内部执行了SEH单步步入该函数，

进入之后再进入ExcuteHandler2

然后进入call ecx 该函数为4019F0，函数反汇编如下,而我们

int __cdecl _except_handler4(PEXCEPTION_RECORD ExceptionRecord, PVOID TargetFrame, int a3)
{
  PVOID v3; // ebx
  int *v4; // esi
  int v5; // eax
  char *v6; // edi
  int v7; // ecx
  int v8; // ecx
  int v9; // ecx
  int *v10; // eax
  int v11; // eax
  int v12; // eax
  int v13; // ecx
  int v14; // ecx
  _DWORD *v16; // eax
  int v17; // ecx
  int v18; // ecx
  PEXCEPTION_RECORD v19; // [esp+Ch] [ebp-18h]
  int v20; // [esp+10h] [ebp-14h]
  int *v21; // [esp+14h] [ebp-10h]
  int v22; // [esp+18h] [ebp-Ch]
  int v23; // [esp+1Ch] [ebp-8h]
  char v24; // [esp+23h] [ebp-1h]

  v3 = TargetFrame;
  v4 = (int *)(__security_cookie ^ *((_DWORD *)TargetFrame + 2));
  v5 = *v4;
  v24 = 0;
  v22 = 1;
  v6 = (char *)TargetFrame + 16;
  if ( v5 != -2 )
    v7 = *(_DWORD *)&v6[v5] ^ (unsigned int)&v6[v4[1]];
  v8 = *(_DWORD *)&v6[v4[2]] ^ (unsigned int)&v6[v4[3]];
  if ( ExceptionRecord->ExceptionFlags & 0x66 )
  {
LABEL_25:
    if ( *((_DWORD *)v3 + 3) == -2 )
      return v22;
    _EH4_LocalUnwind(v6, &__security_cookie);
  }
  else
  {
    *((_DWORD *)TargetFrame - 1) = &v19;
    v3 = (PVOID)*((_DWORD *)TargetFrame + 3);
    v19 = ExceptionRecord;
    v20 = a3;
    if ( v3 == (PVOID)-2 )
      return v22;
    do
    {
      v9 = v4[3 * (_DWORD)v3 + 5];
      v10 = &v4[3 * (_DWORD)v3 + 4];
      v21 = v10;
      v11 = *v10;
      v23 = v11;
      if ( v9 )
      {
        v12 = _EH4_CallFilterFunc(v9, v6);
        v24 = 1;
        if ( v12 < 0 )
        {
          v22 = 0;
          goto LABEL_11;
        }
        if ( v12 > 0 )
        {
          if ( ExceptionRecord->ExceptionCode == -529697949
            && dword_40FCBC
            && _IsNonwritableInCurrentImage(&dword_40FCBC) )
          {
            dword_40FCBC(ExceptionRecord, 1);
          }
          _EH4_GlobalUnwind2(TargetFrame, ExceptionRecord);
          v16 = TargetFrame;
          if ( *((PVOID *)TargetFrame + 3) != v3 )
          {
            _EH4_LocalUnwind(v6, &__security_cookie);
            v16 = TargetFrame;
          }
          v16[3] = v23;
          if ( *v4 != -2 )
            v17 = *(_DWORD *)&v6[*v4] ^ (unsigned int)&v6[v4[1]];
          v18 = *(_DWORD *)&v6[v4[2]] ^ (unsigned int)&v6[v4[3]];
          _EH4_TransferToHandler(v21[2], v6);
          goto LABEL_25;
        }
        v11 = v23;
      }
      v3 = (PVOID)v11;
    }
    while ( v11 != -2 );
    if ( !v24 )
      return v22;
  }
LABEL_11:
  if ( *v4 != -2 )
    v13 = *(_DWORD *)&v6[*v4] ^ (unsigned int)&v6[v4[1]];
  v14 = *(_DWORD *)&v6[v4[2]] ^ (unsigned int)&v6[v4[3]];
  return v22;
}

进入函数继续运行，函数403AD2 为异常过滤

发现异常并没有过滤，继续向下走。执行到403AE9为_EH4_TransferToHandler，进入该函数

开始执行异常处理函数。跳转到4015F6，发现绕过了401611此处的跳转，是比较[ebp-0x88]是否为1，一开始是为1，但是当异常没有忽略交给调试器处理之后解除异常后[ebp-0x88]就会复制为0，所以此处应该是对异常的反调试，开启StrongOD中的skip some Exceptions 即可。或者调试选项忽略异常。

之后又执行了一个貌似反调试函数4012E0

.text:004012E0                 sldt    eax ；将局部描述符存入eax中
.text:004012E3                 retn

检测ldt是否为0如果为0 则没有反调试，不过这里测试了一下无论有没有调试eax则为0。。。。

测试代码:

#include<stdio.h>
#include<windows.h>

int main()
{
    int a = 1;
    
    
        _asm
        {
            sldt eax;
            mov a, eax;

        }
        printf("%d", a);
    
    system("pause")
        ;
}

最后一个地方故意让你不进入一段汇编（解密函数），修改跳转即可

接下来解密函数执行函数，即可看到flag。