首页
社区
课程
招聘
[原创?]一种无差别的anti-anti双机调试的方法
发表于: 2013-8-3 10:51 12310

[原创?]一种无差别的anti-anti双机调试的方法

2013-8-3 10:51
12310

一种无差别的抗-反双击调试的方法,原创不原创不敢说,也许还有很多人也想到过这种方法
无差别,意思是不针对某.sys,完全只需要修改自己的内核即可实现的。。

思路如下,
Hook KdpStub 到一个我们的函数,暂名 beforeKdpTrap

beforeKdpTrap要做的事情如下

__declspec(naked) beforeKdpTrap() {
  __asm {
    pushad
    mov eax, KdDebuggerEnabled
    mov byte ptr [eax],0x1
    popad
    jmp KdpTrap
  }
}

这样做的好处是可以避免通过检测 KiDebugRoutine 来发现调试。

理论上,就算 KdpStub 被校验了,也可以在它的内部找另外一个跳板。

下面是一份win7 32bit 下,针对 Txxsafe.sys 所做的处理。


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 5
支持
分享
最新回复 (12)
雪    币: 245
活跃值: (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
学习了谢谢楼主分享
2013-8-3 13:48
0
雪    币: 371
活跃值: (72)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
不错,还可以这样,Hook内核的时钟更新,在更新时开启调试~~~,一样的效果...
2013-8-3 14:32
0
雪    币: 167
活跃值: (190)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
4
支持下楼主,顺便问下为什么论坛里都把和腾讯有关的东西都打马赛克?既然研究的是技术,为什么搞这套形式上的东西呢?
2013-8-3 15:20
0
雪    币: 53
活跃值: (734)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
问一下 TP的双机在tessafe模块内下硬断解决了么?目前无头绪啊。。下硬断直接out 64,fe
2013-8-3 15:25
0
雪    币: 1042
活跃值: (500)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
律师函
2013-8-3 15:38
0
雪    币: 167
活跃值: (190)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
7
没解决 有思路
TP模块内有个地方检测drx寄存器,CRC扫那个检测函数
你去那边制造一个读写异常,跳到自己的处理程序里veh>seh,检测函数自带__try所以要向量化处理

技术难点:内核下的异常处理机制
貌似没有addveh那个函数了  不知道是哪个函数实现的
2013-8-3 15:44
0
雪    币: 53
活跃值: (734)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
这次TP真的是猥琐了很多啊
2013-8-3 15:47
0
雪    币: 90
活跃值: (91)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
律师函...!!!
2013-8-3 18:53
0
雪    币: 167
活跃值: (190)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
10
有哪次是因为TP收到律师函的我就奇怪了?
上次是因为网络通信协议源码
2013-8-3 20:10
0
雪    币: 185
活跃值: (25)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
难道非得收到律师函才打码么。
2013-8-6 09:13
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
不算原创,我上次在帖子里已经提到过了

http://bbs.pediy.com/showthread.php?t=176198&page=2

见26楼
2013-8-6 15:25
0
雪    币: 245
活跃值: (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
学习了谢谢分享
2013-8-7 13:29
0
游客
登录 | 注册 方可回帖
返回
//