我们知道，DebugPort位于EPROCESS这个结构体中
不知道啊？去幼儿园向小朋友问
我这里的偏移是0x0bc，系统不一样，这个偏移值也不一样
可以用WinDbg查看，开启本地内核调试，输入命令：dt _EPROCESS
这个不多介绍，详情去网上搜
另外，DNF.exe会调用NtOpenProcess进行反调试检测
那么我们不浪费，就地取材，从这里开始入手
在NtOpenProcess处设置一个钩子，SSDT HOOK相信大多数同学都会
这里不需要做任何特殊过滤，只打印一些DNF的相关信息
我给出思路和关键代码：
ANSI_STRING str1,str2;
PEPROCESS processEPROCESS;

//将DNF.exe进程名放入str1中
RtlInitAnsiString(&str1,"DNF.exe");

//获取调用者的EPROCESS
processEPROCESS = IoGetCurrentProcess();

//将调用者的进程名保存到str2中，我这里进程名偏移是0x174
RtlInitAnsiString(&str2,(PCSZ)((ULONG)processEPROCESS+0x174));

//根据进程名来判断
if (RtlCompareString(&str1,&str2,TRUE) == 0)
{
  //说明是DNF.exe调用了这里，打印进程信息
  KdPrint(("DNF.exe的EPROCESS地址为 %x",(ULONG)processEPROCESS));
  KdPrint(("DNF.exe的DebugPort地址为 %x",(ULONG)processEPROCESS+0x0bc));
}

//跳转到NtOpenProcess，这里的代码大家自己编写

好了，DNF.exe的DebugPort地址获取到了，那么我们打开内核查看工具，输入那个地址
看见没有？里面的数值为0，那清零怎么办呢？
该我们的内核侦探神器，syser出场了
热烈欢迎......
按Ctrl+F12，激活内核调试，这时候速度尽量快点
比如0xXXXXXXXX是你们DNF.exe的DebugPort地址
那么我们在那里下内存写入断点
输入bpm 0xXXXXXXXX w，回车，再按F5，让系统运行起来
一眨眼的时间，syser断下来了，看到断下来的地址了吗？
还等什么，赶快把那个清零的地址记下来，然后删除断点，F5继续运行
接着打开内核工具，反汇编，顺着清零的地址往上找
看到int 3和mov edi,edi指令了吗？这就是清零的函数头部
居然还用东西盖住，伪装起来，可恶
拿刀来，砍掉，咔嚓...
把mov edi,edi改成nop和retn，0x90C3，
继续在DebugPort那里下内存写入断点，重复上面的步骤
再继续在那里下内存写入断点，看到了吗？半天都没有断下来
OK!DebugPort清零一共是2处，就这么简单地过了，惊奇吧？

[课程]Android-CTF解题方法汇总！