-
-
[原创]调试陷阱ThreadHideFromDebugger的另一种对抗方法
-
发表于: 2019-2-27 10:55
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
求教win7 和win10 如何新建DebugPort |
|
|
DbgkInitialize ( VOID ) /*++ Routine Description: Initialize the debug system Arguments: None Return Value: NTSTATUS - Status of operation --*/ { NTSTATUS Status; UNICODE_STRING Name; OBJECT_TYPE_INITIALIZER oti = {0}; GENERIC_MAPPING GenericMapping = {STANDARD_RIGHTS_READ | DEBUG_READ_EVENT, STANDARD_RIGHTS_WRITE | DEBUG_PROCESS_ASSIGN, STANDARD_RIGHTS_EXECUTE | SYNCHRONIZE, DEBUG_ALL_ACCESS}; PAGED_CODE (); ExInitializeFastMutex (&DbgkpProcessDebugPortMutex); RtlInitUnicodeString (&Name, L"DebugObject"); oti.Length = sizeof (oti); oti.SecurityRequired = TRUE; oti.InvalidAttributes = 0; oti.PoolType = NonPagedPool; oti.DeleteProcedure = DbgkpDeleteObject; oti.CloseProcedure = DbgkpCloseObject; oti.ValidAccessMask = DEBUG_ALL_ACCESS; oti.GenericMapping = GenericMapping; oti.DefaultPagedPoolCharge = 0; oti.DefaultNonPagedPoolCharge = 0; Status = ObCreateObjectType (&Name, &oti, NULL, &DbgkDebugObjectType); if (!NT_SUCCESS (Status)) { return Status; } return Status; } -- 直接抄，wrk提供了源代码，把其余函数的符号位置找到就好了，这个是楼主的帖子，写多不好（win7和win10也有这个函数，你打开ida逆下基本没怎么改）
最后于 2019-3-5 22:05
被又出bug了编辑
，原因：
|
|
|
实际上，你说的这个方法是最好的，也是能根本解决问题的。还准备啥时候再写写骗个回复什么的。 |
|
|
|
|
|
挖坟了，不明白为什么我SSDT HOOK了 NtSetInformationThread 并没有收到第二个参数为0x11的这条记录，大多数参数值是0x5。 我在应用层已经调用了ZwSetInformationThread ，SSDT Hook 用的是论坛找的一位老哥的 接管MSR那份代码，系统是Win7 64位。 尝试了很多次，无论是自己写的程序调用ZwSetInformationThread，还是某游戏（调试器无法收到消息，我怀疑调用了该函数，使用CE的VEH能捕获到中断信息，使用其他方式捕获断点都会因为没有程序来处理这个异常而导致游戏崩溃），最奇怪的还是NtSetInformationThread接收不到我自己程序调用ZwSetInformationThread的过程，但是ZwSetInformationThread确实生效了。 |
|
|
这个问题，你要看KiUserExceptionDispatcher是不是被hook了，比如某P，或者在+8处（11平台） |
|
|
 首先感谢老哥抽空回复我。我是用XT检测看到游戏在R3层没有任何HOOK，并且R0层没有任何驱动，且我自己写的程序调用ZwSetInformationThread 函数，在R0层的HOOK中也无法收到任何消息，系统调用NtSetInformationThread倒是能被我拦截到几个。 不知道是不是因为MSR接管的只有KiFastCallEntry进入内核的函数调用，而通过中断门调用的KiSystemServeive并没有被我所拦截。 目前基础还比较差，自己动手实现验证所想暂时还做不到，还在阅读内核相关材料，所以想问问老哥这个思路对不对，思路对了我后面把PG补丁给打了，然后直接 HOOK 就可以了。 |
|
|
听你这么一说还没打pg补丁，那现在应该还是在虚拟机测试咯。 自己调用这个api是在有游戏的环境下还是没游戏的环境下？ 有游戏的环境下多半是检测有操作，没游戏的话检查自己的代码。
最后于 2019-8-6 15:06
被Sprite雪碧编辑
，原因：
|
|
|
我使用的是一套接管MSR进行SSDT的代码，确实能捕获到其他调用的信息，比如系统某些其他函数调用了NtSetInformationThread，我都能捕获到并且打印出来，奇怪的是我自己的代码直接调用的ZwSetInformationThread消息没有被拦截到，我回去再检查检查，也再试试把PG干掉之后直接Hook看看。 目前的情况总结下就是这样： 1.在虚拟机里面，Win7 64位，没打PG补丁，用的过期驱动签名。 2.是通过接管MSR来实现SSDT的HOOK，能拦截到一些R3层调用API，但是HOOK了NtSetInformationThread，部分调用拦截不到（还是可以收到一些调用消息，比如第二个参数值位5和3的调用），怀疑接管MSR这种方式有问题，但不能确定下来是什么问题。 3.因为之前学习的时候学到3环进入0环有2种方式，systementry 和 中断门，而且systementry是走的KiFastCallEntry这条路线，但印象中那套接管MSR的代码是HOOK KiFastCallEntry入口来实现的，所以怀疑自己是不是漏掉了通过中断门这种方式进入R0层的代码。  还有就是多谢老哥们的指点，待我解决这个问题之后，会把最后的解决方法发在这下面。
|
|
|
|
|
|
int2e好像是在系统启动期间的时候走的，之后好像就一直是syscall，不会走int2e。 可以尝试替换函数指针来进行hook，不一定非要接管msr。 |
|
|
具体是什么游戏？毕竟涉及到游戏了，如果有经验的话还是不需要去盲猜了。 |
|
|
|
|
|
我在研究调试魔域这款游戏，他驱动没加载起来，只有R3层的反调试，CE的 VEH 模式下断点都没问题，但是调试器收不到消息。 注：因为自己以前玩过这款游戏，所以拿这款游戏做研究，学习他的反调试系统，不是想做外挂。 |
|
|
|
|
|
|
|
|
debugport 不是 debugobject ... |
黑洛
Sprite雪碧
