-
-
[原创]KCTF2020秋季赛 第二题 异常信号 WP(反调试)
-
发表于: 2020-11-24 10:26
-
检测流程:
使用NtSetInformationThread参数THREADINFOCLASS::HideFromDebugger使主线程屏蔽调试器
使用NtCreateThreadEx创建'屏蔽调试器'的线程
使用NtQueryInformationProcess参数PROCESSINFOCLASS::ProcessDebugPort判断当前进程是否被调试
检查int3断点
检查其他
Goto 3
检测方式清楚了(逻辑等价, 作者的实现方式可能有所不同), 过检测就水到渠成了, 可以写对应的调试器插件, 也可以写驱动HOOK相应的系统调用.
对4.5处的检测, 不须特别关注, 调试器附加上以后, 输入'序列号', 中断到NtReadFile后(请见上一篇), 将'除当前线程外的其他所有线程挂起', 即可.
附图(驱动日志):
使用工具:
X64DBG, WinDBG.
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2020-11-24 10:31
被Anakin Stone编辑
，原因：
|
|
|---|---|
