一种无差别的抗-反双击调试的方法,原创不原创不敢说,也许还有很多人也想到过这种方法 无差别,意思是不针对某.sys,完全只需要修改自己的内核即可实现的。。 思路如下, Hook KdpStub 到一个我们的函数,暂名 beforeKdpTrap beforeKdpTrap要做的事情如下 __declspec(naked) beforeKdpTrap() { __asm { pushad mov eax, KdDebuggerEnabled mov byte ptr [eax],0x1 popad jmp KdpTrap } } 这样做的好处是可以避免通过检测 KiDebugRoutine 来发现调试。 理论上,就算 KdpStub 被校验了,也可以在它的内部找另外一个跳板。 下面是一份win7 32bit 下,针对 Txxsafe.sys 所做的处理。
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课