首页
社区
课程
招聘
[原创]使用NMI中断检测无模块驱动
发表于: 2025-9-22 21:41 6457

[原创]使用NMI中断检测无模块驱动

2025-9-22 21:41
6457

各大论坛、博客讲利用NMI插中断检查堆栈的时候普遍有一个错误:在NMI回调中直接调用了RtlWalkFrameChain或者RtlCaptureStackBackTrace。比如R0g大佬这里百密一疏:[原创]2024鹅厂游戏安全技术竞赛决赛题解-PC客户端-CTF对抗-看雪论坛-安全社区|非营利性质技术交流社区

image-20250922213245093

64位下,这两个函数会扫描PE文件的UNWIND_INFO来解析栈帧信息,此时如果触发Page Fault那就蓝屏GG

正确的思路是在KPCR里找到NMI的异常栈地址,解析MACHINE_FRAME去拿RIPRSP,再来判断是否rootkit


IST Index是记录在IDT表项中,触发中断/异常时的异常栈指针索引号

image-20250922204640032

NMI中断在机器上映射的中断向量号总是2:

image-20250922204503469

找到对应的IDT表项,这里的03就是IST Index,说明NMI触发时使用了Ist3这个栈指针

image-20250922204341448


传播安全知识、拓宽行业人脉——看雪讲师团队等你加入!

最后于 2025-9-22 21:44 被周旋久编辑 ,原因:
收藏
免费 160
支持
分享
最新回复 (101)
雪    币: 477
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
2
你的帖子非常有用,感谢分享!
2025-9-22 22:23
0
雪    币: 2759
活跃值: (6268)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
3
牛逼牛逼
2025-9-22 22:57
0
雪    币: 10
活跃值: (1299)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
学习
2025-9-23 02:24
0
雪    币: 203
活跃值: (206)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
感谢分享!
2025-9-23 06:33
0
雪    币: 188
活跃值: (1626)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
感谢分享!
2025-9-23 09:18
0
雪    币: 887
活跃值: (5214)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
7
2025-9-23 09:44
0
雪    币: 20
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
8
学习
2025-9-23 09:55
0
雪    币: 20
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
9
mark
2025-9-23 15:02
0
雪    币: 1475
活跃值: (2168)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
感谢分享!
2025-9-23 15:23
0
雪    币: 1398
活跃值: (6848)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
11
感谢分享!
2025-9-23 17:15
0
雪    币: 353
活跃值: (1249)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
test
2025-9-24 09:15
0
雪    币: 0
活跃值: (992)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
感谢分享!
2025-9-24 10:25
0
雪    币: 292
活跃值: (1362)
能力值: ( LV3,RANK:29 )
在线值:
发帖
回帖
粉丝
14
111111
2025-9-24 13:06
0
雪    币: 0
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
15
1
2025-9-24 17:36
0
雪    币: 2188
活跃值: (1905)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
16
为你点赞!
2025-9-24 18:08
0
雪    币: 677
活跃值: (1191)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
mark
2025-9-24 18:47
0
雪    币: 129
活跃值: (529)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
2025-9-24 20:45
0
雪    币: 208
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
19
666666666666666
2025-9-25 01:58
0
雪    币: 207
活跃值: (613)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
感谢你分享这么好的资源!
2025-9-25 08:21
0
雪    币: 80
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
21
感谢你分享这么好的资源!
2025-9-25 08:38
0
雪    币: 80
活跃值: (355)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
66
2025-9-25 10:51
0
雪    币: 4498
活跃值: (4987)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
23
感谢分享。
2025-9-25 11:25
0
雪    币: 0
活跃值: (240)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
感谢分享。
2025-9-25 12:17
0
雪    币: 154
活跃值: (45)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
25
66666
2025-9-26 09:31
0
游客
登录 | 注册 方可回帖
返回