首页
社区
课程
招聘
22
[原创]SharpOD 反反调试插件 v0.6b (增加功能和修复BUG)
发表于: 2017-7-5 10:32 65615

[原创]SharpOD 反反调试插件 v0.6b (增加功能和修复BUG)

2017-7-5 10:32
65615

SharpOD v0.6b 更新说明
1.增加 x64dbg Remove EP Break
2.增加 x64dbg Atti_Atti Attach
3.增加 ollydbg 随机三级菜单标题
4.完善下 VMP3.1(above)功能。
5.修复 x64dbg 以管理员重新启动,窗口消息未还原,崩溃的BUG
6.修复 x64dbg 64位程序与火绒安全软件抢Hook点导致程序崩溃的BUG
7.修复 取explorer.exe 进程PID不到,父进程PID变成4的情况。
9.优化代码

支持x32dbg、x64dbg

 
1
隐藏PEB,处理掉以下特征
1
2
无力吐槽的功能,恕我直言,一切带特征的反调试都是不安全的。 
而这个功能就是在改变调试器 窗口标题、菜单名称 来防止小学生的枚举窗口以及菜单检测。
1
隐藏进程功能,只针对正在调试的进程,在NtQuerySystemInformation断链 
1
修改父进程标识符,调试的进程 父进程会变成explorer.exe的,如果取不到explorer.exe 的pid,则会把父进程变成4.
1
感觉这个是最给力的更新了,只要拖动调试器左上角的图标 到目标窗口上,即可附加进程。 
1
2
Hook Zw系列函数
这个处理的东西太多了,以下Nt函数 
1
2
移除调试进程的调试权限
因为默认情况下进程没有SeDebugPrivilege权限,调试时会从调试器继承这个权限,以不免有人利用这一点。默认不建议开启 
1
2
3
过VMP3.1以上版本的反调试
VMProtect 3.1版本开始有重大的更新,从这个版本开始,直接模拟Wow64 调用syscall进入内核,32位的系统也是直接调用特权指令systnter进入内核,查询检测ProcessDebugObjectHandle,所以在应用层几乎没有办法拦截他。
我这里使用了一个小trick绕过了他的检测。
1
保护硬件断点 
1
使用此功能,所有用户电脑都得去过PatchGuard,非常麻烦,等必要的时候在加上去。
1
 
1
2
此功能专门针对那些 模仿TP反调试 来清除你的DebugObject->ValidAccessMask ,谁给你的这么大的权力来全局清除我机器的调试对象?
现象是你的调试器无法拖入任何程序。
1
2
绕过 object hook,这个保护在 64位系统上用的最多,他可以过滤掉你打开进程的权限。
比如让你无法对目标进程内存读写等。开启这个功能即可绕过这个保护。但好像WIN10系统下会触发PG
  • peb.BeingDebugged & wow64.peb64.BeingDebugged
  • peb.NtGlobalFlag & wow64.peb64.NtGlobalFlag
  • peb.processHeap.HeapFlags & wow64.peb64.processHeap.HeapFlags
  • peb.processHeap.ForceFlags & wow64.peb64.processHeap.ForceFlags
  • SystemKernelDebuggerInformation
  • SystemProcessInformation
  • SystemHandleInformation
  • invalid Handle
  • ProcessBasicInformation
  • ProcessDebugPort
  • ProcessDebugObjectHandle
  • ProcessDebugFlags
  • ThreadHideFromDebugger
  • ObjectTypesInformation -> DebugObject
  • return STATUS_NO_YIELD_PERFORMED
  • ZwSetContextThread
  • ZwGetContextThread
  • KiUserExceptionDispatcher -> if Wow64PrepareForException
  • RtlDispatchException
  • RtlRestoreContext
  • [SharpOD x64 v0.6更新]

  • 完整的重写架构以及代码,不在和ScyllaHide、PhantOm冲突,比它们更加底层。
  • 支持所有64位系统,不在使用 SSDT Index 硬编码
  • 支持x32dbg、x64dbg

  • [SharpOD x64 历史版本重要更新]

    v0.5c

  • 修复一个调用驱动功能BUG

    v0.5b

  • 重写Hook框架,修复一个死循环BUG
  • 增加了随机 OD窗口菜单、子菜单、全部子窗口标题

    v0.5

  • 增加保护硬件断点
  • 增加过VMP3.1以上的反调试
  • 增加驱动

    v 0.4

  • 加入开关界面显示框,处理窗口标题。

    v0.3

  • 重写Hook框架,支持大多数壳的反调试

    v0.2内测版

  • 支持WIN10系统

    v0.1内测版

  • 一个简单的demo版本
  • peb.BeingDebugged & wow64.peb64.BeingDebugged
  • peb.NtGlobalFlag & wow64.peb64.NtGlobalFlag
  • peb.processHeap.HeapFlags & wow64.peb64.processHeap.HeapFlags
  • peb.processHeap.ForceFlags & wow64.peb64.processHeap.ForceFlags
  • SystemKernelDebuggerInformation

  • [注意]看雪招聘,专注安全领域的专业人才平台!

    上传的附件:
    收藏
    免费 22
    支持
    分享
    赞赏记录
    参与人
    雪币
    留言
    时间
    xi@0ji233
    为你点赞!
    2024-12-12 18:10
    心游尘世外
    感谢你的贡献,论坛因你而更加精彩!
    2024-12-6 04:12
    逆向萌新出街
    你的帖子非常有用,感谢分享!
    2024-11-27 21:07
    程序原
    +1
    你的分享对大家帮助很大,非常感谢!
    2024-7-16 07:52
    飘零丶
    为你点赞!
    2024-7-10 06:40
    shinratensei
    感谢你的贡献,论坛因你而更加精彩!
    2024-7-9 05:34
    nulles
    为你点赞~
    2024-2-18 00:22
    PLEBFE
    为你点赞~
    2023-2-12 04:44
    不懂就乐
    为你点赞~
    2023-2-10 15:05
    naMedoc
    为你点赞~
    2023-1-20 11:15
    Hurrison
    为你点赞~
    2022-3-27 09:42
    信仰9527
    为你点赞~
    2021-7-25 14:17
    yjd
    为你点赞~
    2021-6-25 16:19
    mb_crmhrava
    为你点赞~
    2021-6-24 19:53
    月社妃
    为你点赞~
    2021-5-1 18:42
    gogogodo
    为你点赞~
    2021-3-27 00:34
    fxyang
    为你点赞~
    2021-1-7 14:31
    sinkay
    为你点赞~
    2020-6-21 21:03
    wx_怪兽老了啊
    为你点赞~
    2020-4-13 22:10
    愁烟
    为你点赞~
    2020-4-13 08:39
    flamepeak
    为你点赞~
    2020-3-11 16:02
    来啦老弟
    为你点赞~
    2019-5-10 22:33
    最新回复 (106)
    雪    币: 878
    活跃值: (496)
    能力值: ( LV3,RANK:20 )
    在线值:
    发帖
    回帖
    粉丝
    2
    支持
    2017-7-5 11:32
    0
    雪    币: 1355
    活跃值: (344)
    能力值: ( LV13,RANK:920 )
    在线值:
    发帖
    回帖
    粉丝
    3
    支持楼主
    2017-7-5 11:40
    0
    雪    币: 135
    活跃值: (25)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    4
    这个可以有,多谢!!!
    2017-7-5 11:42
    0
    雪    币: 412
    活跃值: (1973)
    能力值: ( LV12,RANK:210 )
    在线值:
    发帖
    回帖
    粉丝
    5
    支持楼主
    2017-7-5 12:15
    0
    雪    币: 5023
    活跃值: (5818)
    能力值: ( LV4,RANK:40 )
    在线值:
    发帖
    回帖
    粉丝
    6
    报毒,用不了,能不能把壳去了
    2017-7-5 12:48
    0
    雪    币: 3370
    活跃值: (2326)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    7
    一直使用scyllahide+phantom组合,表示  效果很好,
    2017-7-5 13:05
    0
    雪    币: 25
    活跃值: (567)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    8

    sod的驱动源码在哪里啊

    2017-7-5 13:25
    0
    雪    币: 3893
    活跃值: (2222)
    能力值: ( LV6,RANK:93 )
    在线值:
    发帖
    回帖
    粉丝
    9

    跟这个https://github.com/mrexodia/TitanHide比如何?    

    另外话说,难道不禁止patchguard也能用? 加了数字签名(bin里没有发现sys)?  

    可以使用额外工具如KPP和UPGDSED来禁止patchguard,这个提醒下用户就可以了。

    2017-7-5 14:24
    0
    雪    币: 41
    活跃值: (100)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    10
    VMProtect还是过不了,环境是win7  x64  ,加的vmpsdk,超级  变异+虚拟
    2017-7-5 14:31
    0
    雪    币: 1044
    活跃值: (1360)
    能力值: ( LV3,RANK:35 )
    在线值:
    发帖
    回帖
    粉丝
    11
    lynnux 跟这个https://github.com/mrexodia/TitanHide比如何?    另外话说,难道不禁止patc ...
    大牛见笑了,目前只是应用层的。跟TianHide没法比。TianHide也是SSDT  Hook,需要过PG很麻烦。
    2017-7-5 14:49
    0
    雪    币: 1044
    活跃值: (1360)
    能力值: ( LV3,RANK:35 )
    在线值:
    发帖
    回帖
    粉丝
    12
    怕怕吓一 VMProtect还是过不了,环境是win7 x64 ,加的vmpsdk,超级 变异+虚拟
    VMP3.1  以上的版本  直接模拟wow64  syscall进内核。目前我这个是过不去。  等我花时间整整。
    2017-7-5 14:50
    0
    雪    币: 1044
    活跃值: (1360)
    能力值: ( LV3,RANK:35 )
    在线值:
    发帖
    回帖
    粉丝
    13
    lynnux 跟这个https://github.com/mrexodia/TitanHide比如何?    另外话说,难道不禁止patc ...
    但我这个处理了很多    scyllahide和phantom  没有处理到的地方。 
    2017-7-5 15:00
    0
    雪    币: 3893
    活跃值: (2222)
    能力值: ( LV6,RANK:93 )
    在线值:
    发帖
    回帖
    粉丝
    14
    StriveXjun 但我这个处理了很多 scyllahide和phantom 没有处理到的地方。 [em_13]
    哦哦,脑残了,看到“驱动功能目前有PG会触发蓝屏,暂停使用。”这句,以为不发sys了。
    2017-7-5 15:19
    0
    雪    币: 130
    活跃值: (1005)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    15
    附加了下TGP过不去  被检查
    2017-7-5 16:21
    0
    雪    币: 41
    活跃值: (100)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    16
    加油!!
    2017-7-5 18:17
    0
    雪    币: 13161
    活跃值: (5863)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    17
    不知道神马问题,OD卡到
    2017-7-5 19:04
    0
    雪    币: 13161
    活跃值: (5863)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    18
    可能是设置问题吧,64位系统,过DLL本身的VMP都不行
    2017-7-5 19:06
    0
    雪    币: 202
    活跃值: (749)
    能力值: ( LV3,RANK:30 )
    在线值:
    发帖
    回帖
    粉丝
    19
    2017-7-5 20:12
    0
    雪    币: 3411
    活跃值: (2127)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    20
    神器,高大上。
    2017-7-6 00:07
    0
    雪    币: 221
    活跃值: (10)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    22
    神器,高大上。
    2017-8-14 09:52
    0
    雪    币: 25
    活跃值: (567)
    能力值: ( LV2,RANK:10 )
    在线值:
    发帖
    回帖
    粉丝
    23
    这个真的是神器了
    2017-8-14 10:30
    0
    雪    币: 60
    活跃值: (469)
    能力值: ( LV5,RANK:65 )
    在线值:
    发帖
    回帖
    粉丝
    24
    神器,VMP3.0居然能直接打开调试
    2017-9-6 10:20
    0
    雪    币: 206
    活跃值: (108)
    能力值: ( LV6,RANK:90 )
    在线值:
    发帖
    回帖
    粉丝
    25
    这个厉害了,先mark
    2017-9-6 10:47
    0
    游客
    登录 | 注册 方可回帖
    返回

    账号登录
    验证码登录

    忘记密码?
    没有账号?立即免费注册