首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]关于HS的SSDT问题，求助各位 0.00雪花
发表于: 2011-12-27 03:56 1334

[旧帖] [求助]关于HS的SSDT问题，求助各位 0.00雪花

yabari 活跃值
2011-12-27 03:56
1334
请教各位大牛，我用Tuetr查看了所有被Hackshield猥琐过的内核函数，然后写了一个驱动inline了所有被HS inline的，用DbgPrint作为日志追踪，发现都成功绕过，为什么还是无法调试呢，请问各位大牛，
我inline的方法就是：
如果HS在这里inline
00010 ...
00011 CALL HSFUNCTION1
00012 ...
那么我就在行号10前面，JMP到我自己的函数里面，我自己的函数实现了被HS inline的部分。
结合了IDA分析，还有的是loc_xxxxx被inline掉，那么我就把所有jmp这个loc_xxxxx的部分处理。按理说应该完全没问题了，= =||为毛还是无法调试，一调就终止进程。还是由于里面使用了别的判断方法？？？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (3)
yabari
雪    币： 38
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
自己解决了。。还是用驱动过掉了HS的反调试。。。
2011-12-27 07:02
0
yabari
雪    币： 38
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
总结一下。。。HS inline了几个内核函数，在加载的时候，他自己使用了inline后的几个内核函数，当然也调用了自己的函数，估计生成了什么标记，如果在他inline前自己先inline了，那么用调试器一挂接就退出，但是当他inline后，再使用自己写的驱动5字节inline的话，再挂接就没问题了，我以为他会隔断时间就校验一次，但是他没有，估计也是一个HS的失败之处。。。钻了空子了
2011-12-27 07:06
0
yabari
雪    币： 38
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
剩下就是无法下断点，一下断点就会被捕获,出现一个Crash infomation,接下来处理= =|||，这死东西不是一般猥琐啊。。。
2011-12-27 09:10
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//