恰如海德格尔有锤子、维特根斯坦有拨火棍，windows 逆向人员要上手windbg。defcon_27_windbg_workshop 几个 challenges 比较适合windbg入门，在此试着解答，抛砖引玉。

如果时间旅行调试加载exe, 即 Record with Time Travel Debugging(TTD)，程序直接输出No，终结比赛。
不用TTD如下：

看到IsBeingDebugged!__main，肯定得下个断点。g(Go)3次，程序输出Yes。试试g两次。

这里进入了主函数，反汇编窗口显示如下：

程序将执行call poi[40824Ch]。

程序将跳转至KERNELBASE!IsDebuggerPresent。

在返回之前r rax=0。

继续g，输出No。
注意到，IsDebuggerPresent由KERNEL32!IsDebuggerPresentStub实现,就是跳转到KERNEL32!_imp_IsDebuggerPresent存储的地址，即KERNELBASE!IsDebuggerPresent地址。而KERNELBASE!IsDebuggerPresent的3条指令就是获取PEB BeingDebugged字段后返回。所以也可用hook大法，不管程序每次执行什么指令，都在其之前把PEB BeingDebugged置零。

作者在 WinDBG Workshop.pdf 有提示: MONITOR MESSAGES RECEIVED BY USER32!GETMESSAGEW, AND CHECK WINTYPES!MSG.WPARAM。那么下断点的函数和要监控的参数都有了。

根据IDA反汇编结果，该程序使用了以下函数：VirtualAlloc、memcpy、VirtualProtect、CreateThread、WaitForSingleObject和VirtualFree。此调用序列呈现了典型的基于C语言的shellcode加载流程。其中sub_401569函数主要调用VirtualAlloc为unk_403040分配内存，随后通过sub_4015E5进行异或解密（密钥从0x13开始，自增到256开始循环），因此之前加密的SHELLCODE存放于此。而sub_401543函数则对应 xor-payload.py 中的CheckNtGlobalFlag功能模块。

首先绕过IsDebuggerPresent与CheckNtGlobalFlag检测。单步调试时，ret前r eax = 0。随后在VirtualAlloc或memcpy处设置断点。当memcpy(v5, Src, Size)执行时，其参数Src即为加密SHELLCODE地址。单步执行至地址 0x75338CFB 处的msvcrt!memcpy函数时，esi即加密SHELLCODE地址，ecx即其长度。最终sub_4015E5函数同样可以异或解密加密SHELLCODE。

加载模块查看PE头信息。

从内存 dump 出 exe，文件当然是不完全的。

由于缺乏符号信息，反汇编窗口未显示函数名称，使出动静结合大法，放出IDA。可知，MiniRansomware为Go语言编译的exe文件。通过IDA获取所有函数名称与地址的双射，现列出main包中的所有函数如下：

全部设置断点。

g下去，程序未进入main函数，而是中断于MiniRansomware+0xb1670（0x4b1670）处。查询IDA函数名称地址的双射，是main_DecodeStaticKey。

查看main_DecodeStaticKey反汇编。

函数前半部分是一个循环，rax每次自增，与0-8比较，在栈上赋值或跳转。函数的参数与返回值都在栈上操作，因此每次调用及返回前都可以先行查看。RCX与RDX处理完成的最终数值已存入栈中，可先行查看RCX/RDX。因此bp 004b1795。

main_DecodeStaticKey通过栈返回了值"0defcon00defcon00defcon00defcon0"。继续g，进入main_main函数，随后步入main_AcceptSeriousWarning函数，最终抵达main_EntryFunctionEncrypt函数。

重点分析main_EntryFunctionEncrypt加密逻辑。

对所有的call指令，查询IDA函数名称地址双射。

在最后两次函数调用处设置断点，g下去。会在main_EntryFunctionEncrypt与main_IsRegularFile函数之间会反复横跳，表明存在文件验证机制。删除这两个函数断点，继续g，在main_IsValidExtensions处进入新循环。删除该处断点，继续g。

程序执行在call 00000000004B1960处中断。步进该函数。对函数内部的call指令，查询IDA的函数名称地址双射。

地址46D910对应crypto_aes_NewCipher，其唯一参数为AES加密密钥。在main_EntryFunctionEncrypt整个执行流程里，只在crypto_aes_NewCipher和地址4622E0处理加密逻辑，而4622E0只是决定AES加密方式CFB，与密钥无关。查看call crypto_aes_NewCipher上下文。

因此bp 004b1b09，db查看密钥。

HideMe.sys driver在搭建的win10 lab环境里无法运行，所以换成了Nidhogg-Alpha. pid隐藏原理是一样的。
要解决的问题：rootkit如何隐藏pid，windbg如何找出?

运行driver如下：

在windbg查看此driver如下：

notepad打开了两个文件，pid分别为3432和4776。运行NidhoggClient隐藏3432, 查看确认。

主要相关代码如下：

结论：rootkit隐藏进程PID是通过修改Windows内核的 ActiveProcessLinks，摘除目标进程的链表节点且将节点指针指向自身实现隐藏，使目标进程在系统枚举时不可见。

枚举所有活动进程，进程地址或pid存入 ps.txt。

枚举所有句柄，结果存为 handles.txt，过滤出所有进程地址或pid存入 addresses.txt。

去重。

将 ha.txt 与 ps.txt 对比，多出来的就是隐藏进程。

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！