-
-
[原创]使用NMI中断检测无模块驱动
-
发表于: 2025-9-22 21:41
-
各大论坛、博客讲利用NMI插中断检查堆栈的时候普遍有一个错误：在NMI回调中直接调用了RtlWalkFrameChain或者RtlCaptureStackBackTrace。比如R0g大佬这里百密一疏：[原创]2024鹅厂游戏安全技术竞赛决赛题解-PC客户端-CTF对抗-看雪论坛-安全社区|非营利性质技术交流社区
64位下，这两个函数会扫描PE文件的UNWIND_INFO来解析栈帧信息，此时如果触发Page Fault那就蓝屏GG
正确的思路是在KPCR里找到NMI的异常栈地址，解析MACHINE_FRAME去拿RIP和RSP，再来判断是否rootkit
IST Index是记录在IDT表项中，触发中断/异常时的异常栈指针索引号
NMI中断在机器上映射的中断向量号总是2：
找到对应的IDT表项，这里的03就是IST Index，说明NMI触发时使用了Ist3这个栈指针
最后于 2025-9-22 21:44
被周旋久编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
