一种无差别的抗-反双击调试的方法,原创不原创不敢说,也许还有很多人也想到过这种方法 无差别,意思是不针对某.sys,完全只需要修改自己的内核即可实现的。。 思路如下, Hook KdpStub 到一个我们的函数,暂名 beforeKdpTrap beforeKdpTrap要做的事情如下 __declspec(naked) beforeKdpTrap() { __asm { pushad mov eax, KdDebuggerEnabled mov byte ptr [eax],0x1 popad jmp KdpTrap } } 这样做的好处是可以避免通过检测 KiDebugRoutine 来发现调试。 理论上,就算 KdpStub 被校验了,也可以在它的内部找另外一个跳板。 下面是一份win7 32bit 下,针对 Txxsafe.sys 所做的处理。
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)