[原创]SharpOD 反反调试插件 v0.6b (增加功能和修复BUG)-x64dbg插件区-看雪安全社区

SharpOD v0.6b 更新说明
1.增加 x64dbg Remove EP Break 
2.增加 x64dbg Atti_Atti Attach 
3.增加 ollydbg 随机三级菜单标题 
4.完善下 VMP3.1(above)功能。
5.修复 x64dbg 以管理员重新启动，窗口消息未还原，崩溃的BUG
6.修复 x64dbg 64位程序与火绒安全软件抢Hook点导致程序崩溃的BUG
7.修复 取explorer.exe 进程PID不到，父进程PID变成4的情况。
9.优化代码

# 插件说明
#### 简介
##### SharpOD x64 插件是一款只支持64位系统的(Win7,8,10) 反反调试插件，并且支持x32dbg和x64dbg
#### 前言
###### 个人见解先来谈谈各插件功能
###### StrongOD：非常优秀的一款插件，几乎完美，因在64位系统加载不上驱动，只能在32位系统上发挥其威力，海风大牛也没时间更新，这真是个悲剧。

###### PhantOm: 插件精简高效，但使用了SSDT Index硬编码来拦截 wow64cpu!Wow64Transition(32位转64位模式的地方 jmp 0033:xxxxxxxxx)导致兼容性也不是那么的好。
###### 而且处理的东西也非常少，Wow64进程的peb64也没有处理，故导致很多的反调试过不去。

###### scyllaHide: x64dbg作者开发的一款非常优秀隐藏插件，同上也是Hook wow64cpu!Wow64Transition(32位转64位模式的地方 jmp 0033:xxxxxxxxx),而且处理了非常多的地方。
###### 我看完了scyllaHide的源代码，界面复杂，发现作者有点赖 - -！，很多地方处理不够精细，并且硬件断点保护作者嫌64位麻烦也是没写，并且Hook位置不够深,别人随便调用个64位API就检测到了。

###### titanHide: 在64位系统上SSDT Hook，首先用户就要去过一遍PG了，而且处理的地方也不多。

##### 以上插件各有其优缺点，就是找不到一个完美点的，且现在越来越多的64位系统，在64位系统上没能找到一款顺手插件导致被很多软件anti到,故编写了SharpOD x64插件。。

##### SharpOD x64主要实现是向wow64进程 ，注入纯64位code，并且hook ntdll64 api来实现的，这样做要比Hook wow64cpu!Wow64Transition要底层的多。
##### 具体功能请看下面介绍

# 安装
##### Ollydbg: 拷贝SharpOD x64.dll 到您的OD插件目录，并且拷贝StrongOD插件到OD插件目录(StrongOD在64位上主要用于修复OD的BUG和非常好用的快捷键)
##### 然后重启调试器在插件菜单中配置
##### x64dbg: 拷贝对应版本的插件到你的x64dbg插件目录,如64位,拷贝SharpOD x64.dp64文件,然后重启调试器在插件菜单中配置
  
# 功能说明
#### ->Hide PEB (重载程序生效)
    隐藏PEB，处理掉以下特征
- peb.BeingDebugged & wow64.peb64.BeingDebugged  
- peb.NtGlobalFlag & wow64.peb64.NtGlobalFlag  
- peb.processHeap.HeapFlags & wow64.peb64.processHeap.HeapFlags  
- peb.processHeap.ForceFlags & wow64.peb64.processHeap.ForceFlags
  
#### -> Change Caption (重启调试器生效)  
    无力吐槽的功能，恕我直言，一切带特征的反调试都是不安全的。  
    而这个功能就是在改变调试器 窗口标题、菜单名称 来防止小学生的枚举窗口以及菜单检测。

#### -> Hide Process (重载程序生效)  
    隐藏进程功能，只针对正在调试的进程，在NtQuerySystemInformation断链

#### -> Fake ParentProcess (重载程序生效)  
    修改父进程标识符，调试的进程 父进程会变成explorer.exe的，如果取不到explorer.exe 的pid，则会把父进程变成4.

#### -> Drag Attach (重启调试器生效)  
    感觉这个是最给力的更新了，只要拖动调试器左上角的图标 到目标窗口上，即可附加进程。

#### ->Hook *ZwFunctions (重载程序生效)  
    Hook Zw系列函数
    这个处理的东西太多了，以下Nt函数  
##### NtQuerySystemInformation  
- SystemKernelDebuggerInformation  
- SystemProcessInformation  
- SystemHandleInformation

##### NtClose
- invalid Handle

##### NtQueryInformationProcess  
- ProcessBasicInformation  
- ProcessDebugPort  
- ProcessDebugObjectHandle  
- ProcessDebugFlags

##### NtSetInformationThread 
- ThreadHideFromDebugger

##### NtDuplicateObject

##### NtQueryObject  
- ObjectTypesInformation -> DebugObject

##### NtYieldExecution  
- return STATUS_NO_YIELD_PERFORMED

#### -> Remove DebugProvileges (重载程序生效)  
    移除调试进程的调试权限
    因为默认情况下进程没有SeDebugPrivilege权限，调试时会从调试器继承这个权限,以不免有人利用这一点。默认不建议开启

#### -> VMP 3.1(above) (重载程序生效)  
    过VMP3.1以上版本的反调试
    VMProtect 3.1版本开始有重大的更新，从这个版本开始，直接模拟Wow64 调用syscall进入内核，32位的系统也是直接调用特权指令systnter进入内核，查询检测ProcessDebugObjectHandle，所以在应用层几乎没有办法拦截他。 
    我这里使用了一个小trick绕过了他的检测。

#### -> Protect Drx (重载程序生效)
    保护硬件断点  
- ZwSetContextThread  
- ZwGetContextThread
- KiUserExceptionDispatcher -> if Wow64PrepareForException
- RtlDispatchException
- RtlRestoreContext

#### ->Driver Hook SSDT (重启调试器生效)  
    使用此功能，所有用户电脑都得去过PatchGuard，非常麻烦，等必要的时候在加上去。

#### ->Driver Hook ShadowSSDT (重启调试器生效)  
    同上

#### ->Driver Dbg ValidAccessMask (重启调试器生效)  
    此功能专门针对那些 模仿TP反调试 来清除你的DebugObject->ValidAccessMask ,谁给你的这么大的权力来全局清除我机器的调试对象? 
    现象是你的调试器无法拖入任何程序。

#### ->Driver bypass ObjectHook  (重启调试器生效)
    绕过 object hook，这个保护在 64位系统上用的最多，他可以过滤掉你打开进程的权限。
    比如让你无法对目标进程内存读写等。开启这个功能即可绕过这个保护。但好像WIN10系统下会触发PG

- # [SharpOD x64 v0.6更新]  
- 完整的重写架构以及代码,不在和ScyllaHide、PhantOm冲突，比它们更加底层。  
- 支持所有64位系统，不在使用 SSDT Index 硬编码  
- 支持x32dbg、x64dbg

- # [SharpOD x64 历史版本重要更新]

#### v0.5c
- 修复一个调用驱动功能BUG
#### v0.5b
- 重写Hook框架，修复一个死循环BUG
- 增加了随机 OD窗口菜单、子菜单、全部子窗口标题
#### v0.5
- 增加保护硬件断点
- 增加过VMP3.1以上的反调试
- 增加驱动
#### v 0.4
- 加入开关界面显示框，处理窗口标题。 
#### v0.3
- 重写Hook框架，支持大多数壳的反调试 
#### v0.2内测版
- 支持WIN10系统
#### v0.1内测版
- 一个简单的demo版本

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

上传的附件：

SharpOD x64 v0.6b-password[123].rar （1.05MB，8078次下载）

最新回复 (109) 1 2 3 4 5 ▶
Rprop 雪币： 878 活跃值： (496) 能力值： ( LV3，RANK：20 ) 在线值：发帖 35 回帖 743 粉丝 14 关注私信	Rprop 2 楼支持 2017-7-5 11:32 0
爱琴海雪币： 1355 活跃值： (354) 能力值： ( LV13，RANK：920 ) 在线值：发帖 74 回帖 660 粉丝 9 关注私信	爱琴海 13 3 楼支持楼主 2017-7-5 11:40 0
小阿弟雪币： 135 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 234 粉丝 0 关注私信	小阿弟 4 楼这个可以有，多谢！！！ 2017-7-5 11:42 0
我是土匪雪币： 723 活跃值： (2903) 能力值： ( LV12，RANK：210 ) 在线值：发帖 75 回帖 790 粉丝 10 关注私信	我是土匪 4 5 楼支持楼主 2017-7-5 12:15 0
sonyps 雪币： 6749 活跃值： (8758) 能力值： ( LV4，RANK：40 ) 在线值：发帖 33 回帖 393 粉丝 30 关注私信	sonyps 6 楼报毒，用不了，能不能把壳去了 2017-7-5 12:48 0
MsScotch 雪币： 4199 活跃值： (4951) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 394 粉丝 5 关注私信	MsScotch 7 楼一直使用scyllahide+phantom组合，表示效果很好， 2017-7-5 13:05 0
lhb天羽雪币： 25 活跃值： (742) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 155 粉丝 1 关注私信	lhb天羽 8 楼 sod的驱动源码在哪里啊 2017-7-5 13:25 0
lynnux 雪币： 4441 活跃值： (2997) 能力值： ( LV6，RANK：93 ) 在线值：发帖 26 回帖 385 粉丝 27 关注私信	lynnux 9 楼跟这个862K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0M7X3g2^5L8$3c8A6j5g2)9J5c8W2c8A6N6r3q4F1d9r3W2V1k6b7`.`.比如何？另外话说，难道不禁止patchguard也能用？加了数字签名(bin里没有发现sys)？可以使用额外工具如KPP和UPGDSED来禁止patchguard，这个提醒下用户就可以了。 2017-7-5 14:24 0
怕怕吓一雪币： 41 活跃值： (100) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	怕怕吓一 10 楼 VMProtect还是过不了，环境是win7 x64 ,加的vmpsdk,超级变异+虚拟 2017-7-5 14:31 0
StriveXjun 雪币： 665 活跃值： (1655) 能力值： ( LV3，RANK：35 ) 在线值：发帖 4 回帖 216 粉丝 81 关注私信	StriveXjun 11 楼 lynnux 跟这个076K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0M7X3g2^5L8$3c8A6j5g2)9J5c8W2c8A6N6r3q4F1d9r3W2V1k6g2!0q4y4W2!0m8c8W2)9&6y4q4!0q4y4g2!0m8y4W2)9^5x3W2!0q4y4q4!0n7c8q4)9&6y4g2!0q4c8W2!0n7b7#2)9&6c8W2)9J5y4X3q4E0M7q4)9K6b7X3&6T1M7%4m8Q4x3@1t1`.   另外话说，难道不禁止patc ... 大牛见笑了，目前只是应用层的。跟TianHide没法比。TianHide也是SSDT Hook，需要过PG很麻烦。 2017-7-5 14:49 0
StriveXjun 雪币： 665 活跃值： (1655) 能力值： ( LV3，RANK：35 ) 在线值：发帖 4 回帖 216 粉丝 81 关注私信	StriveXjun 12 楼怕怕吓一 VMProtect还是过不了，环境是win7 x64 ,加的vmpsdk,超级变异+虚拟 VMP3.1 以上的版本直接模拟wow64 syscall进内核。目前我这个是过不去。等我花时间整整。 2017-7-5 14:50 0
StriveXjun 雪币： 665 活跃值： (1655) 能力值： ( LV3，RANK：35 ) 在线值：发帖 4 回帖 216 粉丝 81 关注私信	StriveXjun 13 楼 lynnux 跟这个f49K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0M7X3g2^5L8$3c8A6j5g2)9J5c8W2c8A6N6r3q4F1d9r3W2V1k6g2!0q4y4W2!0m8c8W2)9&6y4q4!0q4y4g2!0m8y4W2)9^5x3W2!0q4y4q4!0n7c8q4)9&6y4g2!0q4c8W2!0n7b7#2)9&6c8W2)9J5y4X3q4E0M7q4)9K6b7X3&6T1M7%4m8Q4x3@1t1`.   另外话说，难道不禁止patc ... 但我这个处理了很多 scyllahide和phantom 没有处理到的地方。 2017-7-5 15:00 0
lynnux 雪币： 4441 活跃值： (2997) 能力值： ( LV6，RANK：93 ) 在线值：发帖 26 回帖 385 粉丝 27 关注私信	lynnux 14 楼 StriveXjun 但我这个处理了很多 scyllahide和phantom 没有处理到的地方。 [em_13] 哦哦，脑残了，看到“驱动功能目前有PG会触发蓝屏，暂停使用。”这句，以为不发sys了。 2017-7-5 15:19 0
哇咔咔zs 雪币： 130 活跃值： (1005) 能力值： ( LV2，RANK：10 ) 在线值：发帖 70 回帖 443 粉丝 5 关注私信	哇咔咔zs 15 楼附加了下TGP过不去被检查 2017-7-5 16:21 0
怕怕吓一雪币： 41 活跃值： (100) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	怕怕吓一 16 楼加油！！ 2017-7-5 18:17 0
xie风腾雪币： 15998 活跃值： (8614) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 1102 粉丝 6 关注私信	xie风腾 17 楼不知道神马问题，OD卡到 2017-7-5 19:04 0
xie风腾雪币： 15998 活跃值： (8614) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 1102 粉丝 6 关注私信	xie风腾 18 楼可能是设置问题吧，64位系统，过DLL本身的VMP都不行 2017-7-5 19:06 0
xxdisasm 雪币： 172 活跃值： (824) 能力值： ( LV3，RANK：30 ) 在线值：发帖 7 回帖 92 粉丝 26 关注私信	xxdisasm 19 楼 2017-7-5 20:12 0
chixiaojie 雪币： 3426 活跃值： (2152) 能力值： ( LV2，RANK：10 ) 在线值：发帖 91 回帖 1356 粉丝 3 关注私信	chixiaojie 20 楼神器，高大上。 2017-7-6 00:07 0
Nocker 雪币： 221 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	Nocker 21 楼神器，高大上。 2017-8-14 09:52 0
lhb天羽雪币： 25 活跃值： (742) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 155 粉丝 1 关注私信	lhb天羽 22 楼这个真的是神器了 2017-8-14 10:30 0
褐眼男子雪币： 60 活跃值： (624) 能力值： ( LV5，RANK：65 ) 在线值：发帖 75 回帖 309 粉丝 5 关注私信	褐眼男子 1 23 楼神器,VMP3.0居然能直接打开调试 2017-9-6 10:20 0
星星当空照雪币： 206 活跃值： (118) 能力值： ( LV6，RANK：90 ) 在线值：发帖 6 回帖 55 粉丝 2 关注私信	星星当空照 24 楼这个厉害了，先mark 2017-9-6 10:47 0
地狱怪客雪币： 341 活跃值： (158) 能力值： ( LV7，RANK：110 ) 在线值：发帖 23 回帖 1125 粉丝 12 关注私信	地狱怪客 2 25 楼厉害厉害了！ 2017-9-6 11:08 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复