-
-
[原创]KCTF2020秋季赛 第二题 异常信号 WP(反调试)
-
2020-11-24 10:26
-
检测流程:
使用NtSetInformationThread参数THREADINFOCLASS::HideFromDebugger使主线程屏蔽调试器
使用NtCreateThreadEx创建'屏蔽调试器'的线程
使用NtQueryInformationProcess参数PROCESSINFOCLASS::ProcessDebugPort判断当前进程是否被调试
检查int3断点
检查其他
Goto 3
检测方式清楚了(逻辑等价, 作者的实现方式可能有所不同), 过检测就水到渠成了, 可以写对应的调试器插件, 也可以写驱动HOOK相应的系统调用.
对4.5处的检测, 不须特别关注, 调试器附加上以后, 输入'序列号', 中断到NtReadFile后(请见上一篇), 将'除当前线程外的其他所有线程挂起', 即可.
附图(驱动日志):
使用工具:
X64DBG, WinDBG.
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
最后于 2020-11-24 10:31
被Anakin Stone编辑
，原因：
|
|
|---|---|
