-
-
[原创]win10 32位 过TP双机保护
-
发表于:
2020-11-24 17:05
12238
-
之前通过看雪相关的过tp双机检测贴子未成功,特意看了下软件调试得出了以下结论
处理的位置:
KdPitchDebugger:如未启用调试该值为1,启用调试该值为0-须将该值设1 只要该值设1 就调试器无法主动中断与KdDebuggerEnabled一样原因,该值优先级大于KdDebuggerEnabled
KdDebuggerEnabled:表示内核调试器是否已经被启用(当启动选项中包含/DEBUG或/DEBUGGPORT而且不包含NODEBUG会设TRUE)-移位处理,并设0,该值设0调试器无法主动中断,因为KeUpdateSystemTime函数会主动检测是否为1
KiDebugRoutinr:指向调试器回调(Win10下没有,Win7下存在),存在调试器它指向KdpTrap函数,否则指向KdpSub函数-指向KdpSub函数,Hook中断在进入异常流程前恢复指向
KdpBreakpointTable数组:记录异常断点-移位 并清零 tp未检测
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课