[轉貼] DetectingVM

1. program DetectingVM;
   
2. 
   
3. {$APPTYPE CONSOLE}
   
4. 
   
5. uses
   
6.   SysUtils;
   
7. 
   
8. function IsRunInVirtual:boolean;
   
9. function IsRunningVirtualPC: boolean;
   
10. asm
    
11.   push ebp;
    
12.   mov ebp, esp;
    
13. 
    
14.   mov ecx, offset @exception_handler;
    
15. 
    
16.   push ebx;
    
17.   push ecx;
    
18. 
    
19.   push dword ptr fs:[0];
    
20.   mov dword ptr fs:[0], esp;
    
21. 
    
22.   mov ebx, 0; // Flag
    
23.   mov eax, 1; // VPC function number
    
24. 
    
25.   // call VPC
    
26.   db $0F, $3F, $07, $0B
    
27. 
    
28.   mov eax, dword ptr ss:[esp];
    
29.   mov dword ptr fs:[0], eax;
    
30. 
    
31.   add esp, 8;
    
32. 
    
33.   test ebx, ebx;
    
34. 
    
35.   setz al;
    
36. 
    
37.   lea esp, dword ptr ss:[ebp-4];
    
38.   mov ebx, dword ptr ss:[esp];
    
39.   mov ebp, dword ptr ss:[esp+4];
    
40. 
    
41.   add esp, 8;
    
42. 
    
43.   jmp @ret1;
    
44. 
    
45. @exception_handler:
    
46.   mov ecx, [esp+0Ch];
    
47.   mov dword ptr [ecx+0A4h], -1; // EBX = -1 ->; not running, ebx = 0 -> running
    
48.   add dword ptr [ecx+0B8h], 4;  // ->; skip past the call to VPC
    
49.   xor eax, eax;                 // exception is handled
    
50. 
    
51. @ret1:
    
52. end;
    
53. var a, b:cardinal;
    
54. begin
    
55. a:=0;
    
56. try
    
57.    asm
    
58.       push eax
    
59.       push ebx
    
60.       push ecx
    
61.       push edx
    
62. 
    
63.       mov eax, 'VMXh'
    
64.       mov ecx, 0Ah
    
65.       mov dx, 'VX'
    
66. 
    
67.       in eax, dx
    
68. 
    
69.       mov a, ebx
    
70.       mov b, ecx
    
71. 
    
72.       pop edx
    
73.       pop ecx
    
74.       pop ebx
    
75.       pop eax
    
76.    end;
    
77. except
    
78. end;
    
79. result:=(a=$564D5868) or IsRunningVirtualPC;
    
80. end;
    
81. begin
    
82.   writeln(isRunInVirtual);
    
83.   readln;
    
84.   { TODO -oUser -cConsole Main : Insert code here }
    
85. end.

複製代碼