首页
社区
课程
招聘
[讨论] 情人节各种P大出血总结
发表于: 2013-8-15 01:28 15282

[讨论] 情人节各种P大出血总结

2013-8-15 01:28
15282

今年情人节大家在论坛可真的过得惊心动魄啊

在老V的带领下率先爆出AGP源码,
陆续各路牛人都来抢一出风头, 又重量级猛爆过反调试源码.

我都一一膜拜地下载了拜读, 总结下我的学习笔记。

首先爆出的2款是基于VT的, AGP和Ddvp。
对于VT我没什么研究, 个人理解核心就是利用VT技术对各种调试异常中断进行拦截.

然后爆出的有PassTP,Local_LaoSys,BypassHP等三款,
这三款的核心都是把wrk里的windows应用程序调试子系统dbgk的代码扣出来,
修改了获取DebugPort的方式, 然后再inline  hook原来的dbgk子系统相关函数,
转入修改后的dbgk子系统里执行。

最后还有个EasyDebugger, 这个是直接Patch内核里所有的DebugPort偏移,
貌似TP现在已经开始检测了,不好使了。

刚才仔细看了下AGP, AGP并没有使用VT来实现调试子系统机制,AGP也是扣的Dbgk的代码然后inline  hook原内核。 AGP是利用了VT实现了个"超级断点", 这个不太了解。
而Ddvp的前半部分和AGP类似, 也是inline hook了Dbgk那几个函数, 后面Ddvp利用VT拦截了int 1, int 3中断, 但是拦截到之后具体怎么处理没搞明白。

这和我之前想象的利用VT对异常中断进行拦截, 然后包装成Msg直接Queue到自定义的DebugObject有些不一样。

以上只是个人愚见, 希望和各路大牛一起交流交流.


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 5
支持
分享
最新回复 (23)
雪    币: 3011
活跃值: (468)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
楼主,有文采,顶一下。
2013-8-15 01:34
0
雪    币: 292
活跃值: (153)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
3
。。。程序好比电视机。。。买了看就行了。。。Who T.M Care  里面多少元件。  
2013-8-15 01:44
0
雪    币: 119
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
撸主真牛B.秒钟就读完了》。。。。。。。。还总结发出来.....膜拜!!!!!1
2013-8-15 02:15
0
雪    币: 478
活跃值: (50)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
利用vt技术的过保护  会被和谐吗?
2013-8-15 02:47
0
雪    币: 101
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
开源就是重新画了一个新的起跑线,Protecter和Anti Protecter都要重新冲刺,谁的基础能够支撑他成为跑在前面的少数人,谁是胜者!
2013-8-15 08:19
0
雪    币: 129
活跃值: (2768)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
在攻与防的对立统一中寻求突破。
2013-8-15 08:40
0
雪    币: 1689
活跃值: (379)
能力值: ( LV15,RANK:440 )
在线值:
发帖
回帖
粉丝
8
一场激烈的较量将要开始……
2013-8-15 08:49
0
雪    币: 101
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
用"惨烈"更恰当些
2013-8-15 08:50
0
雪    币: 116
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
支持楼主开贴进行源代码学习
2013-8-15 09:11
0
雪    币: 142
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
还没入门的该怎么破....
2013-8-15 09:12
0
雪    币: 1
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
不明觉厉,膜拜之!
2013-8-15 13:04
0
雪    币: 134
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
百家争鸣百花齐放。。。。
2013-8-15 20:56
0
雪    币: 81
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
真心强大 支持楼主分析
2013-8-16 00:03
0
雪    币: 253
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
真热闹啊。。我是来凑热闹的。
2013-8-16 08:15
0
雪    币: 257
活跃值: (67)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
16
分析得很准确,进入修改后的dbgk子系统
不过VT硬件虚拟化的强大之处在于,它可以实现CPU指令级别的拦截
也就是说,它无需修改驱动保护的任何代码就能够在第一时间获取CPU的控制权
当然了,这套机制也是很复杂的,同时,由于太底层了,兼容性,CPU型号...
需要考虑的各种问题也很多
2013-8-16 08:39
0
雪    币: 136
活跃值: (105)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
17
楼上的说的总结的不错啊 呵呵 太底层的东西兼容性就不知道怎么说好!
2013-8-16 15:50
0
雪    币: 97697
活跃值: (200834)
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
18
2013-8-17 09:58
0
雪    币: 652
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
总记不错。
2013-8-17 10:21
0
雪    币: 23
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
学习学习
2013-8-17 10:32
0
雪    币: 244
活跃值: (63)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
好吧,MARK
2013-8-17 13:32
0
雪    币: 7
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
我好喜欢这句英语 "Who T.M Care"
2013-8-18 22:30
0
雪    币: 39
活跃值: (57)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
兄弟 BypassHP//我怎么没找到呀。给个链接
2013-9-9 17:25
0
雪    币: 1025
活跃值: (239)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
老大 能不能给西 各个 源码的下载地址 找不到啊
2013-9-11 23:30
0
游客
登录 | 注册 方可回帖
返回
//