首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[原创]小技巧大用处，让WINDBG跑起来
发表于: 2010-11-23 21:39 37146

[原创]小技巧大用处，让WINDBG跑起来

crazyearl 活跃值
2
2010-11-23 21:39
37146

今天和大家分享一个小心得，想必很多高手已经玩腻了~飘过吧！
最近接触了不少游戏保护，它们或多或少的都有一个特制就是在被调试机上运行游戏以后调试机上的WINDBG就接受不到信息了。起初我也困惑的很，而且在驱动当中设置int 3断点会蓝屏。后来在一个应用程序中添加了
__asm int 3这个应用程序就崩溃了。得到结论它们都是用了KdDisableDebugger函数来禁止操作系统调试了。想对应的有一个函数是KdEnableDebugger 可以允许调试，但是很多游戏仍然很操蛋。及时你使用了KdEnableDebugger 也无法调试，它们都是不停的禁止调试。
有一天我躺在床上思考，与其利用IDA分析它们的逻辑还不如直接对操作系统进行阉割算了。
假设我们系统上的KdDisableDebugger函数彻底失效了，那么任何人调用也就不可能禁用调试模式了吧。说干就干，首先在MSDN上找到了KdDisableDebugger函数的定义

#define	FAILED_TO_OBTAIN_FUNCTION_ADDRESSES	0x00000001	//获取函数地址失败
//////////////////////////////////////////////////////////////////////
//	名称:	MyGetFunAddress
//	功能:	获取函数地址
//	参数:	函数名称字符串指针
//	返回:	函数地址
//////////////////////////////////////////////////////////////////////
ULONG MyGetFunAddress( IN PCWSTR FunctionName)
{
	UNICODE_STRING UniCodeFunctionName;
	RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
	return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName );   
}
//执行卸载
VOID	DriverUnload(IN PDRIVER_OBJECT	pDriverObject)
{
	
	KdPrint(("Enter DriverUnload\n"));
}
//////////////////////////////////////////////////////////////////////
//	名称:	WPOFF
//	功能:	清除CR0
//	参数:	
//	返回:	
//////////////////////////////////////////////////////////////////////
VOID WPOFF()
{
	__asm
	{
		cli
			mov eax,cr0
			and eax,not 10000h
			mov cr0,eax
	}
}

//////////////////////////////////////////////////////////////////////
//	名称:	WPON
//	功能:	恢复CR0
//	参数:	
//	返回:	
//////////////////////////////////////////////////////////////////////
VOID WPON()
{
	__asm
	{
		mov eax,cr0
			or eax,10000h
			mov cr0,eax
			sti
	}
}
//////////////////////////////////////////////////////////////////////
//	名称:	MyHook_KdDisableDebugger
//	功能:	修改KdDisableDebugger函数起始处导致所有的调用者都返回0
//	参数:	无
//	返回:	状态
//////////////////////////////////////////////////////////////////////
NTSTATUS MyHook_KdDisableDebugger()
{
	KIRQL	Irql;
	BYTE	*KdDisableDebuggerAddress = NULL;
	BYTE	No1Code[2] = {0x33,0xc0};	//xor eax,eax 这句汇编语句的机器码
	BYTE	No2Code[1] = {0xc3};		//retn 的机器码

	//获取KdDisableDebugger地址
	KdDisableDebuggerAddress	= (BYTE*)MyGetFunAddress(L"KdDisableDebugger");
	if (KdDisableDebuggerAddress == NULL)
		return	FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
	//KdPrint(("%0X\n\n",KdDisableDebuggerAddress));
	WPOFF();	//清除CR0
	//提升IRQL中断级
	Irql=KeRaiseIrqlToDpcLevel();
	//写入
	RtlCopyMemory(KdDisableDebuggerAddress,No1Code,2);
	RtlCopyMemory(KdDisableDebuggerAddress+2,No2Code,1);
	//恢复Irql
	KeLowerIrql(Irql);
	WPON();		//恢复CR0

	return	STATUS_SUCCESS;
}
//////////////////////////////////////////////////////////////////////
//	名称:	DriverEntry
//	功能:	入口函数
//	参数:	DriverObject:驱动对象
//			RegistryPath:设备服务键名称(注册表)
//	返回:	状态
//////////////////////////////////////////////////////////////////////
NTSTATUS DriverEntry( IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath )
{
	NTSTATUS status;
	//设置卸载函数
	DriverObject->DriverUnload = DriverUnload;

	status = MyHook_KdDisableDebugger();
	if (status == FAILED_TO_OBTAIN_FUNCTION_ADDRESSES)
		KdPrint(("获取函数地址失败!\n\n"));

	//status = KdDisableDebugger();
	//KdPrint(("======%0X\n",(ULONG)status));
	
	return STATUS_SUCCESS;
}

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
  • 1.jpg （27.92kb，2485次下载）
  • 2.jpg （22.69kb，2487次下载）
收藏
免费 ・7
支持
分享
最新回复 (41)
快雪时晴
雪    币： 370
活跃值： (15)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
2 楼
TAG:kdDisableDebugger HOOK 游戏
2010-11-23 21:47
0
leeone
雪    币： 384
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
膜拜
支持
2010-11-23 22:25
0
magicman
雪    币： 248
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
很强的思路,学习一下...
2010-11-23 22:38
0
天涯一鸿
雪    币： 1040
活跃值： (1293)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
一直是直接在windbg中用ed KdDisableDebugger c3 的飘过……
2010-11-23 22:45
0
crazyearl
雪    币： 439
活跃值： (1284)
能力值： ( LV8，RANK：120 )
在线值：
发帖
回帖
粉丝
私信
6 楼
“简约时尚”受教了。
2010-11-23 22:48
0
熊猫正正
雪    币： 2323
活跃值： (4113)
能力值： ( LV12，RANK：530 )
在线值：
发帖
回帖
粉丝
私信
7 楼
谢谢分享~~
2010-11-23 23:57
0
小小的心
雪    币： 408
活跃值： (156)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
8 楼
最近在学这个，受教了
2010-11-23 23:58
0
honffx
雪    币： 230
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
我觉得过不了多久，很多游戏的保护程序就应该判断很多函数的头部是否被HOOK了。
但是斗争依然继续着，升级着……

搜索所有调用KdDisableDebugger的位置CALL 全部HOOK jmp 到自己驱动处理！
2010-11-24 04:27
0
microdebug
雪    币： 392
活跃值： (89)
能力值： ( LV9，RANK：280 )
在线值：
发帖
回帖
粉丝
私信
10 楼
TAG:kdDisableDebugger HOOK 游戏
2010-11-24 12:19
0
stu
雪    币： 1259
活跃值： (38)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
stu
11 楼
学习了。5字
2010-11-24 12:50
0
猥琐菜鸟
雪    币： 102
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
谢谢...有用
2010-11-24 12:53
0
kkmylove
雪    币： 338
活跃值： (103)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
13 楼
谢谢分享
2010-11-26 12:55
0
金罡
雪    币： 1489
活跃值： (1058)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
14 楼
谢谢分享
2010-11-26 13:03
0
webwizard
雪    币： 29
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
学习这个！
2010-12-15 08:28
0
长风傲天
雪    币： 67
活跃值： (91)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
16 楼
我可以很负责的告诉你……有些游戏，咳咳，具体我就不点名批评了
你直接返回STATUS_SUCCESS是木有用的，而且电脑会瞬间卡死~因为我之前也这么做的
再则，如果你直接返回STATUS_ACCESS_DENIED或者STATUS_DEBUGGER_INACTIVE，OK，不会卡死，但会卡得你半死
最后还有一种，将KdDisableDebugger嫁接到KdEnableDebugger，虚拟机还能动，但是，会灰常卡
还有一种，让它成功调用KdDisableDebugger之后，再调用KdEnableDebugger，好吧，这和上一种方法木有区别的。同样，很卡，灰常tmd的卡

我电脑虽然配置不行，但是，此游戏正常和非正常调用KdDisableDebugger的两种情况下，电脑的速度区别是灰常明显的

原因嘛……俺们群里大部分人认为是死循环，为什么会产生死循环，我也不知道，IDA没看出来= =
但是12分的和这个变量有关，KdDebuggerEnabled，但是IDA我还是没找到的说~~

OK……就这么多，打酱油路过，继续纠结去了 =。 =
你要是解决了，告诉我一下哈……偷偷的告诉你，是DNF那个孙子游戏 = =
2011-3-5 16:12
0
mumaren
雪    币： 71
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
解释一下这句是什么意思？
在windbg中用ed KdDisableDebugger c3
2011-3-5 16:56
0
长风傲天
雪    币： 67
活跃值： (91)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
18 楼
c3=ret
就是在函数头直接ret = =

木用
2011-3-5 17:04
0
mumaren
雪    币： 71
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
19 楼
ed是什么意思？

3q
2011-3-5 19:26
0
长风傲天
雪    币： 67
活跃值： (91)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
20 楼
ed= enter data

windbg的一条命令罢了，你F1看看就知道咯~= =
2011-3-5 19:51
0
代码疯子
雪    币： 270
活跃值： (97)
能力值： ( LV8，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
21 楼
谢谢分享，看完很有收获
2011-3-5 23:23
0
maxzism
雪    币： 169
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
我的做法是直接修改下EAT，保护驱动启动前把KdDebuggerEnabled改到别的地方，这样保护驱动的KdDebuggerEnabled位置就是我修改后的地方，随便他怎么清零了
2011-4-7 12:21
0
nowhy
雪    币： 21
活跃值： (41)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
23 楼
- -
``卡死还是卡半死?? 附加调用个延时函数就不卡了- -....嘻嘻嘻嘻....
2011-4-7 12:52
0
mumaren
雪    币： 71
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
24 楼
在windbg中用ed KdDisableDebugger c3

这句话啥意思？
2011-4-26 22:48
0
Music小冷
雪    币： 376
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
25 楼
18楼有解释

不过我现在用LZ的方法和这种，在GPK下无效，TP启动后机器卡到死。。。不知道是哪做的不对？
2011-4-27 02:13
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//