首页
社区
课程
招聘
[原创]通过NtContinue修改3环程序执行流程
发表于: 2021-9-25 05:27 34091

[原创]通过NtContinue修改3环程序执行流程

2021-9-25 05:27
34091

挺简单的一个小玩意,可以通过ContinueCall去执行想要执行的函数,执行结束后会返回到指定的SavedContext。逆向分析的时候对ContinueCall或者NtContinue进行F8步过的话直接会跟丢,或者程序会挂掉。(这个思路没见有人说过啊,我估计这也是很鸡肋的东西,对反调试的帮助应该不算很大,也就发着玩玩了,大火看个乐)

不仅可以用GetSavedContext获取context,也可以自定义构造,那样的话就灵活更多了。

测试例子1

测试例子2

测试例子3


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 4
支持
分享
最新回复 (11)
雪    币: 248
活跃值: (3789)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
NtContinue相当于jmp,F8就会直接跟丢
用NtContinue来实现call调用,调用完还要通过CONTEXT返回
效率会比较低,不过对于程序接口防止第三方调用稍微有点作用
2021-9-25 11:43
0
雪    币: 6124
活跃值: (4656)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
3
暗桩这种东西,单独一种或许很简单,每样都来一点就很麻烦了。 
2021-9-25 13:25
0
雪    币: 576
活跃值: (2035)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
mark
2021-9-27 16:37
0
雪    币: 7309
活跃值: (3788)
能力值: (RANK:1130 )
在线值:
发帖
回帖
粉丝
5
类似:setjmp/longjmp
2021-9-30 11:50
1
雪    币: 1028
活跃值: (720)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
yy虫子yy NtContinue相当于jmp,F8就会直接跟丢 用NtContinue来实现call调用,调用完还要通过CONTEXT返回 效率会比较低,不过对于程序接口防止第三方调用稍微有点作用
F7也会跟丢,和jmp还是有点区别。效率方面,如果把CONTEXT返回变成三环过程,应该就和SEH改流程之类的没什么分别
2021-10-22 21:27
0
雪    币: 228
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
7
不是很懂,调试器为什么会跟丢,为什么jmp不会丢,好像协程库也不会丢,为什么NtContinue会丢
最后于 2021-10-22 22:01 被mb_hgrbqfun编辑 ,原因:
2021-10-22 22:00
0
雪    币: 1558
活跃值: (3442)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
cpu有个单步执行模式,我记得是flag标志位修改,这样肯定不会跟丢,调试器F7的原理是把下一步要执行的汇编处改成CC断点,都不走那步流程下断也没用啊
2021-10-23 08:27
0
雪    币: 248
活跃值: (3789)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
Caim Astraea F7也会跟丢,和jmp还是有点区别。效率方面,如果把CONTEXT返回变成三环过程,应该就和SEH改流程之类的没什么分别
这个好像是不返回的吧,相当于是从Ring0里面jmp到目标CONTEXT,F7和F8也就都会跟丢
2021-10-23 09:22
0
雪    币: 248
活跃值: (3789)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
qj111111 cpu有个单步执行模式,我记得是flag标志位修改,这样肯定不会跟丢,调试器F7的原理是把下一步要执行的汇编处改成CC断点,都不走那步流程下断也没用啊
这个要看情况,因为有的系统调用进入Ring0后并不会返回,就算cpu有单步标志,F7都会跟丢
2021-10-23 09:28
0
雪    币: 1558
活跃值: (3442)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
好吧这个确实没考虑到
2021-11-16 18:27
0
雪    币: 4734
活跃值: (4281)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12

。。。

最后于 2021-11-20 21:52 被木志本柯编辑 ,原因:
2021-11-20 21:46
0
游客
登录 | 注册 方可回帖
返回
//