Windows系统下如何伪造__rdtsc并阻断代码中2ui64分支？

核心结论 #

在Windows环境下，确实可以通过多种方式篡改或干扰__rdtsc的返回值，或是直接修改分支逻辑，从而阻断目标2ui64分支的执行，但这类操作通常需要系统级权限或对目标进程的注入能力，且存在一定技术门槛和稳定性风险。

具体实现方案 #

1. 直接修改分支逻辑（无需篡改__rdtsc） #

这是最直接且低风险的方案：

• 定位目标进程中switch语句对应的汇编代码，找到case 2ui64的分支跳转指令。
• 将该跳转指令修改为nop（空操作），或直接跳转到default分支的代码位置，让程序永远不会进入something2()的执行逻辑。
• 操作时需先通过VirtualProtect修改目标内存页的保护属性，完成修改后再恢复原属性。

2. Hook __rdtsc返回值 #

如果一定要篡改__rdtsc的结果：

• 用户态Hook：使用Detours等Hook框架，拦截目标进程中的__rdtsc调用，在返回结果时对值进行修改，确保v6 & 0xF永远不等于2。比如将返回值与~0x2按位与，或直接返回固定值避开结果2。
• 内核态Hook：通过驱动级钩子拦截rdtsc指令的执行，修改返回的TSC值。这种方式权限要求更高，但能绕过大部分用户态防护。

3. 利用调试或虚拟化机制 #

• 使用x64dbg等调试器附加到目标进程，在__rdtsc指令处设置断点，每次触发时修改寄存器中的返回值（rdtsc会将结果存入EDX:EAX），让v6 & 0xF的结果不为2。
• 基于Hyper-V或VMware等虚拟化平台，在虚拟机层面拦截rdtsc指令并修改返回值，这种方式对目标程序完全透明，但依赖虚拟机环境支持。

注意事项 #

• 所有操作需要对目标进程拥有足够权限，普通用户权限下可能无法修改进程内存或进行Hook操作。
• 若目标程序存在反调试、反Hook或代码完整性校验机制，这些方法可能被检测到，导致程序崩溃或触发防护逻辑。
• 篡改TSC值可能影响程序中其他依赖时间戳的逻辑，引发不可预期问题，建议优先选择直接修改分支逻辑的方案。

内容的提问来源于stack exchange，提问作者ayya