-
-
[原创][原创]调戏：纯应用层的Anti本地调试器（2）
-
发表于: 2013-11-25 01:35
-
本文是一个开胃用的（最近论坛不少抛砖的，就是玉石不出啊）。核心内容是怎么搞死SOD的Anti Anti Attach功能。
上一篇Anti中调戏了OD的附加和硬件断点，但是对于SOD而言，反附加还是太苍白，于是突然想起多年前，曾经被大神们使用的一个技巧，于是特来调戏一番SOD。当SOD中开启神秘功能 Anti Anti Attach时，OD附加后暂停的EIP代码中，如果用OD单步 F7会看到如下的一段代码：
这里不难看到一个native级的api，作为一个常年混迹于黑暗世界的调戏师立刻就心生歹意。
如果在这Native API上做个文章，比如取出其返回地址进行一番计较，会不会十分精彩呢。
编译运行，用OD（SOD全开模式！）附加后，正常，按F9直接退出。显示如图：
开胃菜到这里结束了。
主菜请等下一篇。
PS:
IGS游戏安全技术培训
QQ群:48715131
欢迎有兴趣研究各类游戏安全相关技术的人员加入。
上一篇Anti中调戏了OD的附加和硬件断点，但是对于SOD而言，反附加还是太苍白，于是突然想起多年前，曾经被大神们使用的一个技巧，于是特来调戏一番SOD。当SOD中开启神秘功能 Anti Anti Attach时，OD附加后暂停的EIP代码中，如果用OD单步 F7会看到如下的一段代码：
这里不难看到一个native级的api，作为一个常年混迹于黑暗世界的调戏师立刻就心生歹意。
如果在这Native API上做个文章，比如取出其返回地址进行一番计较，会不会十分精彩呢。
#include "stdafx.h"
#include <winternl.h>
#include "inlinehook.h"
DWORD GetModuleImageSize(PVOID lphModule);
typedef void (__stdcall *_RtlExitUserThread)(NTSTATUS ExitStatus);
_RtlExitUserThread OldRtlExitUserThread = NULL;
DWORD ntdllBase = 0;
DWORD ntdllSize = 0;
void __stdcall OnRtlExitUserThread(NTSTATUS ExitStatus)
{
void* __ebp = &__ebp + 2;
DWORD Eip = *(DWORD *)((DWORD)__ebp+4);
if (Eip>ntdllBase&&Eip<ntdllBase+ntdllSize)
{
OldRtlExitUserThread(ExitStatus);
}
else
{
TerminateProcess(GetCurrentProcess(),0);
}
return ;
}
DWORD WINAPI AAAAThread(LPVOID lparam)
{
BYTE g_backcode[10]={0};
ntdllBase = (DWORD)GetModuleHandle(TEXT("ntdll.dll"));
ntdllSize = GetModuleImageSize((PVOID)ntdllBase);
PVOID pfnRtlExitUserThread = (PVOID)GetProcAddress(GetModuleHandle(TEXT("ntdll.dll")),"RtlExitUserThread");
InlineHook((void *)pfnRtlExitUserThread,(void *)OnRtlExitUserThread,(void **)&OldRtlExitUserThread);
RtlCopyMemory((void *)g_backcode,pfnRtlExitUserThread,10);
while(1)
{
if (memcmp(pfnRtlExitUserThread,g_backcode,10)!=0)
{
TerminateProcess(GetCurrentProcess(),0);
}
//!!
Sleep(5000);
}
return 0;
}
void InitAAAA()
{
::CreateThread(NULL,0,AAAAThread,NULL,0,NULL);
}
编译运行，用OD（SOD全开模式！）附加后，正常，按F9直接退出。显示如图：
开胃菜到这里结束了。
主菜请等下一篇。
PS:
IGS游戏安全技术培训
QQ群:48715131
欢迎有兴趣研究各类游戏安全相关技术的人员加入。
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 大清早的吃多了消化不良
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 开胃开胃
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
张姿势了，，，
|
|
|
这是不是检测RtlExitUserThread的返回地址看看是否在ntdll模块内？
全开sod难道不是吗？。。 为什么我的sod全开之后没效果
|
|
|
|
|
|
|
|
|
|
|
|
|
