[原创]2023南极动物厂高校决赛之决赛附加题-逆向工程-看雪安全社区

# 0x01 前言

没有参赛 看了下题目 感觉不太难 附加题比较有意思 蹭个热度 发个WP

**先说结果：**通过置位`*MmTrackPtes`标志位,让内核调用`MiInsertPteTracker`,把Length存储到`*MiDeadPteTrackerSListHead`链表，遍历检测这个链表中的Length是不是等于0x2023然后蓝屏。并且同时要置位`*MiTrackPtesAborted`为1，不然在置位`*MmTrackPtes`后会蓝屏。

**备注：带*的（WRK里面叫这个但是pdb里面是去除了这个符号名称的）**

# 0x02 过程

**题目:**

![](upload/attach/202304/620278_BQMCA295EHAK2UV.png)

**题目分析**

**1.ida打开ring3的程序先看看做了啥。**

![](upload/attach/202304/620278_9X22QDW93YK4JYT.png)

**2.接着打开ring0的程序看看他做了啥。**

![](upload/attach/202304/620278_8MNUNF5MDRRV7PW.png)

非常好基本上全部都被tvm0保护了。

**3.综上考虑下出题人思路并验证。**

驱动被全v了，但是导入表并没有被保护。出题人大概是想考察黑盒分析。因为这么短的时间考察去虚拟化，显然是不太符合要求的。

先来验证下常规思路，既然在驱动加载后，ring3程序一打开就蓝屏。题目说检测读功能，考虑句柄表。

so，验证下...

a.在`ReadProccesMemory`打断点，并不蓝屏，所以在`CreateProcessA`以后拿到了句柄以后，依然不会蓝屏，排除句柄表。

b.根据a很明显问题可以定位在`ReadProcessMemory`，观察ring3的程序，很明显的地方就是这个0x2023了罗。

c.让我们来验证下b，把这个0x2023改掉试试。

d.非常好，根本不蓝。

e.思路很清晰，大概率检测的Length。**目标预期： 查找有无全局变量存储了Length，并且大概率这个全局变量是个数组、链表等。**

f.打开Ntoskrnl.i64 来到`NtReadVirtualMemory`观察Length的去向。

![](upload/attach/202304/620278_AFWDMXZFZGH4TAR.png)

走进了`MmCopyVirtualMemory`，在这个函数的内部发现Length被存到了一个临时的MDL结构里面。

![](upload/attach/202304/620278_HE6J3AMUAGWJ9WA.png)

所以我们继续跟踪`MemoryDescriptorList`的去向看看是谁获取了结构体中的`ByteCount`或者是`Size`

![](upload/attach/202304/620278_4S8CXQS39Z54YF6.png)

![](upload/attach/202304/620278_XYVKEDE4EW7TC95.png)

只有这几个函数`MmProbeAndLockPages` `MmMapLockedPagesSpecifyCache` `MmUnlockPages`。我们一个一个来看看有什么奥秘所在。

g.1.`MmProbeAndLockPages`
先来看看函数内部

![](upload/attach/202304/620278_X5M4AN27TUGQ9N4.png)

非常好拿了我们的`ByteCount`，接着我们来看看`MiProbeAndLockPrepare`函数内部

![](upload/attach/202304/620278_JKB3SN7MCKB5EJ7.png)

总的来说这个函数里面并没有直接存储`ByteCount`这个玩意，而是跟别的加加减减再搞一块。所以先放一边。

g.2.`MmMapLockedPagesSpecifyCache`

函数内部发现好几个函数引用了`MemoryDescriptorList`

思路大概跟g.1一样不细说了，没有直接存储`ByteCout`或者`Size`的函数直接先放一边，到时候回过头去看。

g.2.1

但是在` MiInsertPteTracker`我们发现了奥秘所在。

![](upload/attach/202304/620278_MRGET6N4G46VUWN.png)

接下来我们观察v8的在哪里来的就完事了。并且根据WRK我们可以知道v8是个什么玩意了。

![](upload/attach/202304/620278_4MU5FKRV4TDWRUA.png)

![](upload/attach/202304/620278_ZVBC2URAXTRGXSP.png)

很明显就是PTE_TRACKED这个结构

```C
typedef struct _PTE_TRACKER {
    LIST_ENTRY ListEntry;
    PMDL Mdl;
    PFN_NUMBER Count;
    PVOID SystemVa;
    PVOID StartVa;
    ULONG Offset;
    ULONG Length;
    PFN_NUMBER Page;
    struct {
        ULONG IoMapping: 1;
        ULONG Matched: 1;
        ULONG CacheAttribute : 2;
        ULONG Spare : 28;
    };
    PVOID CallingAddress;
    PVOID CallersCaller;
} PTE_TRACKER, *PPTE_TRACKER;
```

与预想中的非常符合。`ByteCount`被直接存储到`PTE_TRACKER::Length`里面了。

g2.2

而且非常明显是从全局变量`MiDeadPteTrackerSListHead`里面拿到的v8。

![](upload/attach/202304/620278_2NPZ7BD3S6BQ2TK.png)

g2.3

既然上述代码逻辑完全符合我们的目标预期，我们来看看在什么情况下，`MmMapLockedPagesSpecifyCache`内部会调用`MiInsertPteTracker`

![](upload/attach/202304/620278_WFQ4MWK856T2ZKV.png)

噔噔噔~，发现在`dword_140CFB17C(MmTrackPtes)`为1的情况下会`MiInsertPteTracker`

g2.4

我们来双机看看这个标志位

![](upload/attach/202304/620278_G8JGQETWSSXUGZW.png)
 ![](upload/attach/202304/620278_9HAZYSVKW2U5WFS.png)

很不幸，系统默认情况下，这个标志位为0。所以在默认情况下，压根不走这里。

那意思就是赛题的驱动把这个标志位改了？我们来验证一波。

在这里下个写入断点，然后加载赛题的驱动。

先`ba w1 fffff8020617318c`（这是标志位地址，在上图）然后拉起驱动。

![](upload/attach/202304/620278_CT484CPQWR2P99M.png)

芜湖~，断在NotepadProtect.sys里面

至此分析完毕，其他的还分析个锤子。（其实还有）

# 0x03 完毕

1.综合0x02整个分析过程，绕过检测的思路已经非常简单了。给`dword_140CFB17C(MmTrackPtes)`标志位置0，长度就不会再往全局数组里面插入了。

2.模拟他的检测思路就是，给`dword_140CFB17C(MmTrackPtes)`标志位置1，然后遍历`*MiDeadPteTrackerSListHead`中的长度是不是等于0x2023。

很不幸的是，在我们手动置位`dword_140CFB17C(MmTrackPtes)`以后立马蓝屏了

![](upload/attach/202304/620278_QWTQ4Y3RHJMCTMC.png)

我们来分析下为什么他不蓝屏，我们会蓝屏，先看看调用栈。

![](upload/attach/202304/620278_6E26MZPVTJ73QHB.png)

Ok，在函数里面主动蓝屏的，我们在WRK定位到相应位置看看

![](upload/attach/202304/620278_47HCB47TGPNKHGZ.png)

看来我们还需要给`MiTrackPtesAborted`置1。

3.思路很清晰。

结论：通过置位`*MmTrackPtes`标志位,让内核调用`MiInsertPteTracker`,把Length存储到`*MiDeadPteTrackerSListHead`链表，遍历检测这个链表中的Length是不是等于0x2023然后蓝屏。并且同时要置位`*MiTrackPtesAborted`为1，不然在置位`*MmTrackPtes`后会蓝屏。

# 0x04

就是大概看了一眼，代码没写。代码没什么技术含量，就是特征定位几个未导出的全局变量，然后遍历自己照着wrk写一遍就行。

# 0x05
总的来说，在加了tvm的情况下，只要思路清晰，就是钻一，还是能比较快速的解完这道题的。而且耗费的时间也并不长。

# 0x06
什么？你跟我说看完上面还是不会做？那把tvm去虚拟化了你总会做了吧？
附件是去虚拟化以后的`NotepadProtect.sys`的ida分析文件。
（附件被吞了 看评论区~）

# 特别鸣谢
1.<mark class="encrypted">446K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3t1I4M7#2)9J5k6h3y4G2L8g2)9J5c8Y4A6Z5N6h3S2#2K9h3u0W2K9i4y4Z5j5h3c8A6j5h3!0Q4x3V1k6F1N6r3!0K6K9%4u0F1L8l9`.`.</mark> (WRK)
2.不愿公开姓名的xxx提供的去虚拟化sys。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2023-4-17 18:28 被淡然他徒弟编辑，原因：

#VM保护 #软件保护 #调试逆向

最新回复 (30) 1 2 ▶
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 2 楼附件被吞了？评论区带附件也吞？最后于 2023-4-17 18:17 被淡然他徒弟编辑，原因：上传的附件： NotepadProtect.devirt.sys.i64 （8.13MB，246次下载） 2023-4-17 18:15 0
万剑归宗雪币： 914 活跃值： (3188) 能力值： ( LV5，RANK：68 ) 在线值：发帖 6 回帖 515 粉丝 37 关注私信	万剑归宗 1 3 楼踩楼 2023-4-17 18:17 1
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 4 楼万剑归宗踩楼谢谢霸哥捧场 2023-4-17 18:18 0
CanineTooth 雪币： 2353 活跃值： (4928) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 13 粉丝 79 关注私信	CanineTooth 5 楼无敌老神仙 2023-4-17 18:24 0
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 6 楼 CanineTooth 无敌老神仙路总牛逼！！！ 2023-4-17 18:34 0
FraMeQ 雪币： 2221 活跃值： (2081) 能力值： ( LV5，RANK：70 ) 在线值：发帖 4 回帖 83 粉丝 19 关注私信	FraMeQ 7 楼不会是通过脱壳分析出来的结果，然后倒推出题人想让解题的思路吧，如果我分析GET不到 "观察ring3的程序，很明显的地方就是这个0x2023了罗" 这个点，或许这个是我和大佬的差距 2023-4-17 18:46 0
如斯咩咩咩雪币： 4709 活跃值： (1760) 能力值： ( LV2，RANK：15 ) 在线值：发帖 1 回帖 154 粉丝 8 关注私信	如斯咩咩咩 8 楼存爷yyds 2023-4-17 19:35 0
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 9 楼 FraMeQ 不会是通过脱壳分析出来的结果，然后倒推出题人想让解题的思路吧[em_2]，如果我分析GET不到 "观察ring3的程序，很明显的地方就是这个0x2023了罗" 这个点，或许这个是 ... 这个靠经验罗句柄表都排除了检测读写无非就是那几种方式他总不可能把eac的fake cr3抄来出题把。都定位在ReadProcessMemory了无非就是检测那几个参数了。 2023-4-17 19:42 0
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 10 楼如斯咩咩咩存爷yyds 积总 nb！！！ 2023-4-17 19:43 0
crackcc 雪币： 187 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 1 关注私信	crackcc 11 楼！最后于 2023-4-18 14:49 被crackcc编辑，原因： 2023-4-17 20:26 0
L0x1c 雪币： 1025 活跃值： (5892) 能力值： ( LV12，RANK：312 ) 在线值：发帖 15 回帖 49 粉丝 138 关注私信	L0x1c 3 12 楼存哥无敌！！！！！ 2023-4-17 21:04 0
0xC5 雪币： 3669 活跃值： (6185) 能力值： ( LV6，RANK：92 ) 在线值：发帖 7 回帖 71 粉丝 47 关注私信	0xC5 1 13 楼我原称之为最强 2023-4-17 21:39 0
夏男人雪币： 886 活跃值： (2966) 能力值： ( LV4，RANK：52 ) 在线值：发帖 3 回帖 20 粉丝 10 关注私信	夏男人 14 楼 “那把tvm去虚拟化了你总会做了吧” 我去，太秀了 2023-4-17 22:55 0
黑洛雪币： 6129 活跃值： (5254) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 566 粉丝 83 关注私信	黑洛 1 15 楼坏了，有人要拿第一了 2023-4-18 05:46 0
秋狝雪币： 10161 活跃值： (34236) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 16 楼强啊 2023-4-18 09:11 1
大道在我雪币： 8655 活跃值： (5073) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 213 粉丝 47 关注私信	大道在我 17 楼坏了，有人要拿第一了 2023-4-18 17:06 0
qdjytony 雪币： 677 活跃值： (1341) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 86 粉丝 3 关注私信	qdjytony 18 楼存爷太强了 2023-4-19 01:42 0
Editor 雪币： 31591 活跃值： (70184) 能力值： (RANK：145 ) 在线值：发帖 2695 回帖 5467 粉丝 2678 关注私信	Editor 19 楼附件存档一份上传的附件： PC客户端安全-决赛题目.zip （11.19MB，75次下载） 2023-4-19 21:09 0
Roger 雪币： 4869 活跃值： (4606) 能力值： ( LV8，RANK：147 ) 在线值：发帖 6 回帖 132 粉丝 138 关注私信	Roger 1 20 楼存哥牛逼 2023-4-20 14:56 0
木志本柯雪币： 6581 活跃值： (8659) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 448 粉丝 9 关注私信	木志本柯 21 楼淡然他徒弟附件被吞了？评论区带附件也吞？没有使用vmp吗？这么容易去虚拟化？ 2023-4-20 16:45 0
淡然他徒弟雪币： 5608 活跃值： (7373) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 22 楼木志本柯没有使用vmp吗？这么容易去虚拟化？什么叫去虚拟化，肯定是用了虚拟才会有去虚拟化这么个说法啊。至于为什么这么容易去虚拟化... 那你得去问tvm的人了。 2023-4-23 04:55 0
saloyun 雪币： 2240 活跃值： (5403) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 273 粉丝 4 关注私信	saloyun 23 楼 tql!!! 2023-4-23 14:14 0
爱吃奥里给雪币： 21 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	爱吃奥里给 24 楼存爷yyds 2023-4-26 09:28 1
k1ee 雪币： 508 活跃值： (2726) 能力值： ( LV13，RANK：429 ) 在线值：发帖 15 回帖 17 粉丝 21 关注私信	k1ee 2 25 楼 tvm是啥啊，腾讯自己的vmp吗 2023-5-21 19:25 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复