-
-
[原创]这两天对某P双机调试的学习及成果
-
发表于: 2015-1-1 00:20
-
可见KdDebuggerNotPresent也是一个判断是否是内核调试状态的标志。
6.根据先前大牛写的这个帖子http://bbs.pediy.com/showthread.php?t=186091
讲过KdEnteredDebugger也是一个判断是否为内核调试状态的标志。
7.如果是内核调试状态，KiDebugRoutine指向KdpTrap函数，如果不是内核调试状态则指向KdpStub函数。
综合上述，上述7点中的任何一点可以判断是否处于内核调试状态。
二：接下来看一下*P对内核做的手脚。
1.解决*P加载蓝屏的方法：
根据上面提到的帖子上有给出解决方案，因为*P会访问KdEnteredDebugger的内容所以Hook IoAllocMdl，当访问KdEnteredDebugger的时候让他去访问其他始终为0的地址。具体可以看上面帖子的地址。
2.解决完1之后，在虚拟机启动*P就不会蓝屏了，*P会有两个IAT Hook 两个通讯函数：KdSendPacket 和KdReceivePacket，反汇编一下这两个函数：
解决方案：
解析内核文件的PE结构，获取两个发送函数的地址，得到地之后把地址赋值给自己驱动的全局变量，然后用全局变量替换这两个jmp的地址。详见源码。
3.众所周知，*P是调用KdDisableDebugger函数来禁止内核调试的。所以下断KdDisableDebugger。并将KdDisableDebugger的头部改成ret：
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2019-9-29 14:04
被kanxue编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我感觉，一般可以先看一下TesSafe.sys的导入表，看看使用了哪些函数，如图：
 然后可以猜测，为了安全访问内核的地址内容，会创建一个MDL进行操作，进而可以猜测HOOK IoAllocateMdl 函数。总之，实践出真理~ 
|
|
|
[QUOTE=zfdyq;1341924]我感觉，一般可以先看一下TesSafe.sys的导入表，看看使用了哪些函数，如图：
然后可以猜测，为了安全访问内核的地址内容，会创建一个MDL进行操作，进而可以猜测HOOK IoAllocateMdl 函数。总之，实践出真理~ [/QUOTE]多谢 朋友热心帮助 感激不尽 |
|
|
[QUOTE=zfdyq;1341924]我感觉，一般可以先看一下TesSafe.sys的导入表，看看使用了哪些函数，如图：
然后可以猜测，为了安全访问内核的地址内容，会创建一个MDL进行操作，进而可以猜测HOOK IoAllocateMdl 函数。总之，实践出真理~ [/QUOTE] 楼主这个工具叫什么，可否说下名字
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
LoadPE
|
