[原创]VT调试器原理揭秘--DebugPort转移与重建调试体系-逆向工程-看雪安全社区

[原创]VT调试器原理揭秘--DebugPort转移与重建调试体系

发表于: 2026-9-1 22:04 9124

[原创]VT调试器原理揭秘--DebugPort转移与重建调试体系

Qmeimei10086 活跃值

2026-9-1 22:04

9124

# 前言
目前市面上主要纯在两种基于虚拟化的调试器：
1. 走无附加读写，利用驱动直接读写物理内存，不会调用KeStackAttachProcess，自然也不会留下句柄的痕迹，利用vt本身的MFT技术实现单步调试，断点，优点是完全无痕，缺点也很明显，实现难度很大，从反汇编引擎到VT框架，代码量大，自然也会增加不少不稳定性，而且脱离x64dbg，CE之类的主流调试器生态，缺少各种插件，如果是商业使用对用户来说也不习惯 
2. 走重建调试体系，大部分其实都是这种，通过ept/npt hook和重写windows调试体系，直接对接传统调试器，优点是代码量小，稳定而且符合使用习惯，缺点自然是相对容易被检测，也就是本文的办法 
 
当我们回忆一下windows的调试体系，其实上相当精简，内核真正置位的只有几个地方，一个是peb->BeingDebugged，这个是老生常谈的，很好处理，你把他改回去就行了。另一个就是Process->DebugPort，这是连接调试器与被调试进程的地方，所有的通信都在这里发生，这里不可能隐藏，也许你会说我hook NtQueryInformationProcess不就行了，但是如果我直接获取结构体偏移，去查Process->DebugPort，你怎么办。所以，只要是在windows调试体系之下，我们是绝对无可能隐藏的了Process->DebugPort 
但是如果我们不走windows调试体系，自建一个呢？ 
# 浅谈ept/npt hook
![](upload/attach/202609/1055387_DNE6PUKFG65XNQV.webp)
ept hook，是启动利用启动虚拟化之后增加的额外页表的功能，对于Guest机来说，是完全无法察觉到还存在另一层页表的，开启EPT后，真正的物理内存就被隐藏起来了，Guest中的所有人都访问不到，只有Host能访问到，同时我们还可以设置额外页表的属性，衍生出来几种方法：
摘自：0bfK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6I4K9e0c8D9i4K6u0W2k6$3W2@1K9s2g2T1i4K6u0W2K9h3!0Q4x3V1j5J5x3o6t1@1i4K6u0r3x3o6S2Q4x3V1j5H3y4q4)9J5c8W2)9J5y4f1f1$3i4K6t1#2b7U0g2Q4x3U0f1^5y4g2)9J5y4f1f1^5i4K6t1#2b7U0m8Q4x3U0f1^5z5p5g2b7g2q4)9J5y4f1f1$3i4K6t1#2z5e0N6Q4x3U0g2m8x3q4)9J5y4f1f1%4i4K6t1#2z5e0N6Q4x3U0f1&6y4f1S2a6e0@1E0Q4x3U0g2q4y4#2)9J5y4e0W2m8i4K6t1#2z5o6c8Q4x3U0g2q4y4W2)9J5y4e0V1$3i4K6t1#2b7U0W2Q4x3U0g2q4y4W2)9J5y4f1t1K6i4K6t1#2z5e0g2Q4x3V1j5`. 
1. 无需MTF置位的无痕Hook 
设置EPT页级Hook，使整读和写页无效，而只留下可执行属性 
分配一个新的物理内存（P2），EPT中的EPT Pml1Entry的PhyFrameNumber（原来的P1）替换成新分配的 
修改P2，使其变成一个绝对跳转，跳转到Hook的地方去执行 
页面受到读写访问，EPT Violation，此时将此页面为可读写，不可执行 
下次执行的时候，遇到不可执行内存，EPT Violation再次恢复可执行，不可读写 
缺点: 
此Hook有个很大的缺陷，考虑如下。 
```asm
hook_4kb_addr:
 mov rax, ds:[hook_4kb_addr]
```
这样就会无限MTF，不断的切换不可读写，可读写，导致CPU卡死

2. 仿内存执行断点的无痕Hook  
设置页面HOOK，全程可读写，不可执行  
这样有可能就会某一次到要HOOK的地方，但是页可能不到  
如果没到，而是其他地址，恢复可执行，并设置MTF，在MTF Handler中恢复不可执行  
直到遇到要Hook的地方，HOST中直接VMWRITE，修改GUEST_RIP  
缺点:  
遇到4kb页面访问次数多的，会巨卡无比。

3. MTF置位全程可执行的无痕Hook 
设置EPT页级Hook，使整读和写页无效，而只留下可执行属性 
分配一个新的物理内存（P2），EPT中的EPT Pml1Entry的PhyFrameNumber（原来的P1）替换成新分配的 
修改P2，使其变成一个绝对跳转，跳转到Hook的地方去执行 
页面受到读写访问，EPT Violation，此时将此页面可读/写，并设置MTF位 
MTF VM Exit，判断是否是EPT Hook导致的，是则设置不可读写，并替换回P2物理内存。 
缺点: 
缺点不太明显，适合Hook内核函数，而对于高频CRC校验的函数，不太适合，总的来说是最适合的EPT无痕Hook了。 
 
总之就是，实现读与执行分离，读出来的是正常的，执行的却是另一套代码，这样就可以规避内存检测，实现绕过patchguard或者其他内存crc检测 
至于npt，就是amd-v技术下的拓展页表，也有着一套相似的流程 
有了npt/ept hook,我们就可以放心大胆的hook这些系统函数了 
# 附加调试重构
请先食用：https://bbs.kanxue.com/thread-292227.htm 
以下代码大部分来此某佬的仓库c49K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6^5P5h3c8V1L8X3I4B7P5h3c8V1i4K6u0r3N6Y4c8Q4x3X3c8d9k6h3I4G2j5h3c8p5j5X3M7`. 
我们首先思考，不通过debug_port，被调试进程怎么找到属于他自己的DEBUG_OBJECT 
我们在全局维护起一个g_Debuginfo双向循环链表 
```c
typedef struct _DebugInfomation {
	LIST_ENTRY List;
	HANDLE SourceProcessId; // 调试器进程 PID
	HANDLE TargetProcessId; // 被调试进程 PID
	DEBUG_OBJECT* DebugObject; // 假调试对象
} DebugInfomation, *PDebugInfomation;
```
通过pid查到到属于自己的DebugObject
 
## NtDebugActiveProces
将DEBUG_OBJECT挂到被调试进程的是调试器，所以我们要在第一个入口点hook，也就是NtDebugActiveProcess，在这里我们插入一个独立的g_Debuginfo
```c
NTSTATUS NtDebugActiveProcess(
	HANDLE ProcessHandle,
	HANDLE DebugObjectHandle)
{
	DbgPrintEx(77, 0, "[DbgHook] NtDebugActiveProcess enter pid=%lu\n", (ULONG)PsGetCurrentProcessId());
	NTSTATUS status;
	KPROCESSOR_MODE PreviousMode;
	PDEBUG_OBJECT DebugObject;
	BOOLEAN DebugObjectReferenced = FALSE;
	PEPROCESS Process, CurrentProcess;
	PETHREAD LastThread = NULL;
	PreviousMode = ExGetPreviousMode();
	status = ObReferenceObjectByHandle(
		ProcessHandle,
		0x800,
		*PsProcessType,
		PreviousMode,
		(PVOID*)& Process,
		NULL);
	if (!NT_SUCCESS(status)) {
		DbgPrintEx(77, 0, "[DbgHook] NtDebugActiveProcess ObRefProcess failed 0x%08X\n", status);
		return status;
	}

DbgPrintEx(77, 0, "[DbgHook] NtDebugActiveProcess target pid=%lu\n", (ULONG)PsGetProcessId(Process));

if (Process == (PEPROCESS)PsGetCurrentProcess() || Process == (PEPROCESS)PsInitialSystemProcess) {
		ObfDereferenceObject(Process);
		return STATUS_ACCESS_DENIED;
	}

CurrentProcess = (PEPROCESS)PsGetCurrentProcess();
	status = ObReferenceObjectByHandle(
		DebugObjectHandle,
		0x2,
		*g_DbgkDebugObjectType,
		PreviousMode,
		(PVOID*)& DebugObject,
		NULL);
	DbgPrintEx(77, 0, "[DbgHook] NtDebugActiveProcess ObRefDebugObject status=0x%08X\n", status);
	if (NT_SUCCESS(status))
	{
		DebugObjectReferenced = TRUE;
	}
	KIRQL OldIrql = { 0 };
	KeAcquireSpinLock(&g_DebugLock, &OldIrql);
	for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)   //建立独立的g_Debuginfo
	{
		PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
		if (pDebuginfo->SourceProcessId == PsGetCurrentProcessId())
		{
			pDebuginfo->TargetProcessId = PsGetProcessId(Process);
			break;
		}
	}
	KeReleaseSpinLock(&g_DebugLock, OldIrql);

if (NT_SUCCESS(status)) {

DbgPrintEx(77, 0, "[DbgHook] Acquire   RundownProtection ... \n");
		PEX_RUNDOWN_REF RundownProtect = (PEX_RUNDOWN_REF)GetProcess_RundownProtect(Process);
		
		if (ExAcquireRundownProtection(RundownProtect))
		{
			DbgPrintEx(77, 0, "[DbgHook] Acquire   RundownProtection success\n");
			DbgPrintEx(77, 0,
				"[DbgHook] before DbgkpPostFakeProcessCreateMessages Process=%p DebugObject=%p LastThread=%p\n",
				Process, DebugObject, LastThread);
			DbgPrintEx(77, 0,
				"[DbgHook] posting initial process event Process=%p DebugObject=%p\n",
				Process, DebugObject);
			status = DbgkpPostFakeProcessCreateMessages(Process, DebugObject, &LastThread);
			DbgPrintEx(77, 0,
				"[DbgHook] DbgkpPostFakeProcessCreateMessages status=0x%08X LastThread=%p\n",
				status, LastThread);
			if (NT_SUCCESS(status))
			{
				status = DbgkpSetProcessDebugObject(
					(PEPROCESS)Process,
					DebugObject,
					STATUS_SUCCESS,
					LastThread);
				DbgPrintEx(77, 0,
					"[DbgHook] DbgkpSetProcessDebugObject status=0x%08X\n",
					status);
			}
			ExReleaseRundownProtection(RundownProtect);
		}
		else {
			status = STATUS_PROCESS_IS_TERMINATING;
		}
	}

ObfDereferenceObject(Process);
	if (DebugObjectReferenced)
	{
		ObfDereferenceObject(DebugObject);
	}
	DbgPrintEx(77, 0, "[DbgHook] NtDebugActiveProcess return with status%d\n", status);
	return status;
}

```
这里为了调试，日志写多了一点，反正这个函数的调用不是很高频  
来到DbgkpPostFakeThreadMessages
## DbgkpPostFakeThreadMessages
这个函数很奇妙，你必须hook，哪怕只是做个中转，不hook就会卡住，估计是和页有关系
```c
NTSTATUS DbgkpPostFakeThreadMessagesHook(
	PEPROCESS Process,
	PDEBUG_OBJECT DebugObject,
	PETHREAD StartThread,
	PETHREAD* pFirstThread,
	PETHREAD* pLastThread)
{
	DbgPrintEx(77, 0,
		"[DbgHook] DbgkpPostFakeThreadMessages enter Process=%p DebugObject=%p StartThread=%p\n",
		Process, DebugObject, StartThread);

NTSTATUS Status = OriginalDbgkpPostFakeThreadMessages(
		Process,
		DebugObject,
		StartThread,
		pFirstThread,
		pLastThread);

DbgPrintEx(77, 0,
		"[DbgHook] DbgkpPostFakeThreadMessages return status=0x%08X FirstThread=%p LastThread=%p\n",
		Status,
		pFirstThread ? *pFirstThread : NULL,
		pLastThread ? *pLastThread : NULL);
	return Status;
}
```

## DbgkpQueueMessage
这个函数会在两个地方用到，
比如
```c
DbgkpPostFakeProcessCreateMessages(
    Process,
    DebugObject,
    ...
);
后续调用：
DbgkpQueueMessage(
    Process,
    Thread,
    ApiMsg,
    Flags,
    DebugObject);
```
这时： 
TargetDebugObject已经是正确对象，不需要再从：Process->DebugPort读取。  
因此当前代码：  
DebugObject = TargetDebugObject;

但是不是所有事件调用路径都一定传入有效的 TargetDebugObject  
有些路径可能是：  
TargetDebugObject == NULL    
或者原版逻辑本来就是在函数内部读取Process->DebugPort，比如被调试进程触发异常时像调试器假消息，此时因为我们是自建debugport：    
Process->DebugPort == NULL  
于是两种来源都没有：   
显式 TargetDebugObject 为空    
Process->DebugPort 也为空    
这时需要一个替代关系：    
目标进程 PID -> DEBUG_OBJECT  
g_Debuginfo 就承担了这个作用：    
```c
NTSTATUS DbgkpQueueMessage(
	PEPROCESS Process,
	PETHREAD Thread,
	PDBGKM_APIMSG ApiMsg,
	ULONG Flags,
	PDEBUG_OBJECT TargetDebugObject)
{
	DbgPrintEx(77, 0,
		"[DbgHook] DbgkpQueueMessage enter pid=%lu api=%lu flags=0x%08X explicit=%p\n",
		(ULONG)PsGetProcessId(Process),
		(ULONG)ApiMsg->ApiNumber,
		Flags,
		TargetDebugObject);
	PDEBUG_EVENT DebugEvent;
	DEBUG_EVENT StaticDebugEvent;
	PDEBUG_OBJECT DebugObject = NULL;
	NTSTATUS Status;

RtlZeroMemory(&StaticDebugEvent, sizeof(StaticDebugEvent));

if (Flags & DEBUG_EVENT_NOWAIT)
	{
		DebugEvent = (PDEBUG_EVENT)ExAllocatePoolWithQuotaTag((POOL_TYPE)(NonPagedPool | POOL_QUOTA_FAIL_INSTEAD_OF_RAISE), sizeof(DEBUG_EVENT), 'EgbD');//sizeof (DEBUG_EVENT)=0x168
		if (!DebugEvent)
		{
			return  STATUS_INSUFFICIENT_RESOURCES;
		}

DebugEvent->Flags = Flags | DEBUG_EVENT_INACTIVE;//offset: 0x13
		ObReferenceObject(Thread);
		ObReferenceObject(Process);
		DebugObject = TargetDebugObject;
		DebugEvent->BackoutThread = PsGetCurrentThread();

// Create-process notifications are commonly queued with NOWAIT before
		// NtCreateUserProcess returns. In that window the explicit object and
		// the PID map may both be unavailable, while the native DebugPort still
		// temporarily identifies the debug object.
		if (DebugObject == NULL)
		{
			PVOID DebugPortAddress = GetProcess_DebugPort(Process);
			if (DebugPortAddress != NULL)
			{
				DebugObject = *(PDEBUG_OBJECT*)DebugPortAddress;
				if (DebugObject != NULL)
				{
					DbgPrintEx(77, 0,
						"[DbgHook] DbgkpQueueMessage NOWAIT using transient DebugPort pid=%lu object=%p\n",
						(ULONG)PsGetProcessId(Process), DebugObject);
				}
			}
		}

}
	else
	{
		DebugEvent = &StaticDebugEvent;
		DebugEvent->Flags = Flags;
		// The kernel caller already resolved the object for this event.  This is
		// important during attach, before the PID mapping is fully observable.
		DebugObject = TargetDebugObject;

// During NtCreateUserProcess, the process DebugPort is populated by the
		// native path before the first create event is queued.  The user-process
		// wrapper cannot establish the PID mapping yet because it has not returned.
		// Use that transient native value only for routing this event; the wrapper
		// still clears it after process creation completes.
		if (DebugObject == NULL)
		{
			PVOID DebugPortAddress = GetProcess_DebugPort(Process);
			if (DebugPortAddress != NULL)
			{
				DebugObject = *(PDEBUG_OBJECT*)DebugPortAddress;
				if (DebugObject != NULL)
				{
					DbgPrintEx(77, 0,
						"[DbgHook] DbgkpQueueMessage using transient Process->DebugPort pid=%lu object=%p\n",
						(ULONG)PsGetProcessId(Process), DebugObject);
				}
			}
		}

ExAcquireFastMutex(DbgkpProcessDebugPortMutex);

if (DebugObject == NULL)
		{
			KIRQL OldIrql = { 0 };
			KeAcquireSpinLock(&g_DebugLock, &OldIrql);
			for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
			{
				PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
				if (pDebuginfo->TargetProcessId == PsGetProcessId(Process))
				{
					DebugObject = pDebuginfo->DebugObject;
					break;
				}
			}

// During CreateProcess, the first debug events are emitted before
			// NtCreateUserProcess returns, so TargetProcessId is not known yet.
			// The creator PID is the debugger PID for this synchronous path.
			if (DebugObject == NULL &&
				PsGetProcessId(Process) != PsGetCurrentProcessId())
			{
				for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
				{
					PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
					if (pDebuginfo->SourceProcessId == PsGetCurrentProcessId())
					{
						DebugObject = pDebuginfo->DebugObject;
						pDebuginfo->TargetProcessId = PsGetProcessId(Process);
						DbgPrintEx(77, 0,
							"[DbgHook] DbgkpQueueMessage creator fallback source=%lu target=%lu object=%p\n",
							(ULONG)PsGetCurrentProcessId(),
							(ULONG)PsGetProcessId(Process),
							DebugObject);
						break;
					}
				}
			}
			KeReleaseSpinLock(&g_DebugLock, OldIrql);
		}

PVOID CrossThreadFlags = GetThread_CrossThreadFlags(Thread);
		if (ApiMsg->ApiNumber == DbgKmCreateThreadApi || ApiMsg->ApiNumber == DbgKmCreateProcessApi) {
			if (*(PULONG)(CrossThreadFlags)& PS_CROSS_THREAD_FLAGS_SKIP_CREATION_MSG) {
				DebugObject = NULL;
			}
		}

if (ApiMsg->ApiNumber == DbgKmExitThreadApi || ApiMsg->ApiNumber == DbgKmExitProcessApi) {
			if (*(PULONG)(CrossThreadFlags)& PS_CROSS_THREAD_FLAGS_SKIP_TERMINATION_MSG) {
				DebugObject = NULL;
			}
		}
	}
	KeInitializeEvent(&DebugEvent->ContinueEvent, SynchronizationEvent, FALSE);

DebugEvent->Process = Process;
	DebugEvent->Thread = Thread;
	DebugEvent->ApiMsg = *ApiMsg;
	DebugEvent->ClientId.UniqueProcess = PsGetThreadProcessId(Thread);
	DebugEvent->ClientId.UniqueThread = PsGetThreadId(Thread);

//KIRQL irql = KeGetCurrentIrql();//win7 ������ܻᱨirql bsod���������ֱ�ӷ���
		if (DebugObject == NULL/* || irql >= APC_LEVEL*/)
	{
			DbgPrintEx(77, 0,
				"[DbgHook] DbgkpQueueMessage no debug object pid=%lu api=%lu flags=0x%08X\n",
				(ULONG)PsGetProcessId(Process),
				(ULONG)ApiMsg->ApiNumber,
				Flags);
			Status = STATUS_PORT_NOT_SET;
	}
	else
	{
		ExAcquireFastMutex(&DebugObject->Mutex);
		if ((DebugObject->Flags & DEBUG_OBJECT_DELETE_PENDING) == 0) {
			InsertTailList(&DebugObject->EventList, &DebugEvent->EventList);

if ((Flags & DEBUG_EVENT_NOWAIT) == 0) {
				KeSetEvent(&DebugObject->EventsPresent, 0, FALSE);
			}
			Status = STATUS_SUCCESS;
			DbgPrintEx(77, 0,
				"[DbgHook] DbgkpQueueMessage queued pid=%lu api=%lu flags=0x%08X nowait=%d\n",
				(ULONG)PsGetProcessId(Process),
				(ULONG)ApiMsg->ApiNumber,
				Flags,
				(Flags & DEBUG_EVENT_NOWAIT) != 0);
		}
		else
		{
			Status = STATUS_DEBUGGER_INACTIVE;
		}
		ExReleaseFastMutex(&DebugObject->Mutex);
	}

if ((Flags & DEBUG_EVENT_NOWAIT) == 0) {
		ExReleaseFastMutex(DbgkpProcessDebugPortMutex);

if (NT_SUCCESS(Status)) {
			KeWaitForSingleObject(
				&DebugEvent->ContinueEvent,
				Executive,
				KernelMode,
				FALSE,
				NULL);
			Status = DebugEvent->Status;
			*ApiMsg = DebugEvent->ApiMsg;
		}
	}
	else {
		if (!NT_SUCCESS(Status)) {
			ObfDereferenceObject(Process);
			ObfDereferenceObject(Thread);
			ExFreePool(DebugEvent);
		}
	}
	DbgPrintEx(77, 0,
		"[DbgHook] DbgkpQueueMessage return status=0x%08X pid=%lu api=%lu flags=0x%08X\n",
		Status,
		(ULONG)PsGetProcessId(Process),
		(ULONG)ApiMsg->ApiNumber,
		Flags);
	return Status;
}
```
## DbgkpSetProcessDebugObject
DbgkpSetProcessDebugObject是把调试对象挂到被调试进程的地方,同时也是置位peb->BeingDebugged，我们肯定要hook，只要不让他干这些事就行了  
```c
NTSTATUS DbgkpSetProcessDebugObject(
	PEPROCESS Process,
	PDEBUG_OBJECT DebugObject,
	NTSTATUS MsgStatus,
	PETHREAD LastThread)
{
	NTSTATUS Status;
	PETHREAD ThisThread;
	LIST_ENTRY TempList;
	PLIST_ENTRY Entry;
	PDEBUG_EVENT DebugEvent;
	BOOLEAN First;
	PETHREAD Thread;
	BOOLEAN GlobalHeld;
	PETHREAD FirstThread = NULL;

ThisThread = (PETHREAD)PsGetCurrentThread();
	InitializeListHead(&TempList);
	First = TRUE;
	GlobalHeld = FALSE;
	if (!NT_SUCCESS(MsgStatus)) {
		LastThread = NULL;
		Status = MsgStatus;
	}
	else {
		Status = STATUS_SUCCESS;
	}

if (NT_SUCCESS(Status)) {
		while (TRUE) {

////��������DebugPort����������
			//PVOID DebugPort__ = GetProcess_DebugPort(Process);
			//*(ULONG64 *)(DebugPort__) = (ULONG64)DebugObject;
			ExAcquireFastMutex(DbgkpProcessDebugPortMutex);

GlobalHeld = TRUE;
			if (LastThread != NULL) {
				ObfReferenceObject(LastThread);
			}
			Thread = (PETHREAD)PsGetNextProcessThread((PEPROCESS)Process, (PETHREAD)LastThread);
			if (Thread != NULL) {

ExReleaseFastMutex(DbgkpProcessDebugPortMutex);

GlobalHeld = FALSE;
				if (LastThread != NULL) {
					ObfDereferenceObject(LastThread);
				}
				Status = DbgkpPostFakeThreadMessages(
					Process,
					DebugObject,
					Thread,
					&FirstThread,
					&LastThread);
				if (!NT_SUCCESS(Status)) {
					LastThread = NULL;
					break;
				}
				if (FirstThread != NULL) {
					ObfDereferenceObject(FirstThread);
					FirstThread = NULL;
				}
			}
			else {
				break;
			}
		}
	}

// Keep the real DebugPort hidden. DbgkpQueueMessage uses g_Debuginfo to
	// route normal events while the target process remains non-debuggable to
	// callers that inspect EPROCESS.
	ExAcquireFastMutex(&DebugObject->Mutex);
	if (NT_SUCCESS(Status)) {
		if ((DebugObject->Flags & DEBUG_OBJECT_DELETE_PENDING) == 0) {
			ObfReferenceObject(DebugObject);
		}
		else {
			Status = STATUS_DEBUGGER_INACTIVE;
		}
	}

for (Entry = DebugObject->EventList.Flink; Entry != &DebugObject->EventList;) {
		DebugEvent = CONTAINING_RECORD(Entry, DEBUG_EVENT, EventList);
		Entry = Entry->Flink;

if ((DebugEvent->Flags & DEBUG_EVENT_INACTIVE) != 0 && DebugEvent->BackoutThread == (PETHREAD)ThisThread) {
			Thread = DebugEvent->Thread;

if (NT_SUCCESS(Status)) {
				if ((DebugEvent->Flags & DEBUG_EVENT_PROTECT_FAILED) != 0) {
					PVOID CrossThreadFlags = GetThread_CrossThreadFlags(Thread);
					RtlInterlockedSetBitsDiscardReturn(CrossThreadFlags, 0x100);
					RemoveEntryList(&DebugEvent->EventList);
					InsertTailList(&TempList, &DebugEvent->EventList);
				}
				else {
					if (First) {
						DebugEvent->Flags &= ~DEBUG_EVENT_INACTIVE;
						KeSetEvent(&DebugObject->EventsPresent, 0, FALSE);
						First = FALSE;
					}
					DebugEvent->BackoutThread = NULL;
					PVOID CrossThreadFlags = GetThread_CrossThreadFlags(Thread);
					RtlInterlockedSetBitsDiscardReturn(CrossThreadFlags, 0x80);
				}
			}
			else {
				RemoveEntryList(&DebugEvent->EventList);
				InsertTailList(&TempList, &DebugEvent->EventList);
			}

if (DebugEvent->Flags & DEBUG_EVENT_RELEASE) {
				DebugEvent->Flags &= ~DEBUG_EVENT_RELEASE;
				PVOID RundownProtect = GetThread_RundownProtect(Thread);
				ExReleaseRundownProtection((PEX_RUNDOWN_REF)RundownProtect);
			}

}
	}

ExReleaseFastMutex(&DebugObject->Mutex);

if (GlobalHeld)
	{
		ExReleaseFastMutex(DbgkpProcessDebugPortMutex);
	}

if (LastThread != NULL) {
		ObDereferenceObject(LastThread);
	}

while (!IsListEmpty(&TempList)) {
		Entry = RemoveHeadList(&TempList);
		DebugEvent = CONTAINING_RECORD(Entry, DEBUG_EVENT, EventList);
		DbgkpWakeTarget(DebugEvent);
	}

//������������BeingDebugged��
	//if (NT_SUCCESS(Status)) {
	// DbgkpMarkProcessPeb(Process);
	//}

return Status;
}
```

## KiDispatchException
对于被调试调试器来说，真正要hook的只有KiDispatchException，和DbgkForwardException，因为只有这里会用上debugport，向调试器发生异常，比如int3  
当触发异常时会来到KiDispatchException，此处有
```c
  if ( Process->DebugPort )
  {
    if ( (v5 & 1) != 0 )
    {
      if ( (Thread->CrossThreadFlags & 4) == 0 )
      {
        memset(&APIMSG, 0, 0x40u);
        APIMSG.u.Exception.ExceptionRecord.ExceptionRecord = (_EXCEPTION_RECORD *)Thread->Win32StartAddress;
        APIMSG.h.u1.Length = 0x400018;
        APIMSG.h.u2.ZeroInit = 8;
        APIMSG.ApiNumber = DbgKmCreateThreadApi;
        DbgkpSendApiMessage(Process, 1, &APIMSG);
      }
    }
    else
```
假如异常发生且Process->DebugPort有值，才会发给调试器，但是显然我们没有，所以这里需要寻找, 没找到跳回原来的KiDispatchException即可  
```c
VOID KiDispatchException(
	PEXCEPTION_RECORD ExceptionRecord,
	void* ExceptionFrame,
	PKTRAP_FRAME TrapFrame,
	KPROCESSOR_MODE PreviousMode,
	BOOLEAN FirstChance)
{
	if (PreviousMode != KernelMode)
	{
		BOOLEAN isDebug = FALSE;
		KIRQL OldIrql = { 0 };
		KeAcquireSpinLock(&g_DebugLock, &OldIrql);
		for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
		{
			PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
			if (pDebuginfo->TargetProcessId == PsGetCurrentProcessId())
			{
				isDebug = TRUE;
				break;
			}
		}
		KeReleaseSpinLock(&g_DebugLock, OldIrql);

if (isDebug)
		{
			BOOLEAN Wow64ExceptionCode = FALSE;
			if ((TrapFrame->SegCs & 0xfff8) == KGDT64_R3_CMCODE)
			{
				switch (ExceptionRecord->ExceptionCode)
				{
				case STATUS_BREAKPOINT:
					ExceptionRecord->ExceptionCode = STATUS_WX86_BREAKPOINT;
					Wow64ExceptionCode = TRUE;
					break;
				case STATUS_SINGLE_STEP:
					ExceptionRecord->ExceptionCode = STATUS_WX86_SINGLE_STEP;
					Wow64ExceptionCode = TRUE;
					break;
				}
			}

if (DbgkForwardException(ExceptionRecord, TRUE, FALSE))
			{
				return;
			}

if (Wow64ExceptionCode)
			{
				switch (ExceptionRecord->ExceptionCode)
				{
				case STATUS_WX86_BREAKPOINT:
					ExceptionRecord->ExceptionCode = STATUS_BREAKPOINT;
					break;
				case STATUS_WX86_SINGLE_STEP:
					ExceptionRecord->ExceptionCode = STATUS_SINGLE_STEP;
					break;
				}
			}
		}
	}

OrignalKiDispatchException(ExceptionRecord, ExceptionFrame, TrapFrame, PreviousMode, FirstChance);
	return;
}
```
## DbgkForwardException
然后来到DbgkForwardException，这里还是从g_Debuginfo里面找DEBUG_OBJECT，同时把检测ThreadHideFromDebugger的地方删掉就行了  
```c
BOOLEAN  DbgkForwardException(
	PEXCEPTION_RECORD ExceptionRecord,
	BOOLEAN DebugException,
	BOOLEAN SecondChance)
{
	DbgPrintEx(77, 0, "[DbgHook] DbgkForwardException enter pid=%lu DebugException=%d ExceptionCode=0x%08X\n", (ULONG)PsGetCurrentProcessId(), DebugException, ExceptionRecord->ExceptionCode);
	NTSTATUS		st;
	PEPROCESS		Process;
	PVOID			ExceptionPort;
	PDEBUG_OBJECT	DebugObject;
	BOOLEAN			bLpcPort;

DBGKM_APIMSG m;
	PDBGKM_EXCEPTION args;

RtlZeroMemory(&m, sizeof(m));

DebugObject = NULL;
	ExceptionPort = NULL;
	bLpcPort = FALSE;

args = &m.u.Exception;
	m.h.u1.Length = 0xD000A8;
	m.h.u2.ZeroInit = 8;
	m.ApiNumber = DbgKmExceptionApi;

Process = (PEPROCESS)PsGetCurrentProcess();

if (DebugException == TRUE)
	{
		KIRQL OldIrql = { 0 };
		KeAcquireSpinLock(&g_DebugLock, &OldIrql);
		for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
		{
			PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
			if (pDebuginfo->TargetProcessId == PsGetCurrentProcessId())
			{
				DebugObject = pDebuginfo->DebugObject;
				break;
			}
		}
		KeReleaseSpinLock(&g_DebugLock, OldIrql);
	}
	else
	{
		ExceptionPort = PsCaptureExceptionPort(Process);
		m.h.u2.ZeroInit = 0x7;
		bLpcPort = TRUE;
	}

DbgPrintEx(77, 0, "[DbgHook] DbgkForwardException DebugObject=%p ExceptionPort=%p\n", DebugObject, ExceptionPort);

if ((ExceptionPort == NULL && DebugObject == NULL) &&
		DebugException == TRUE)
	{
		return FALSE;
	}

args->ExceptionRecord = *ExceptionRecord;
	args->FirstChance = !SecondChance;

if (bLpcPort == FALSE)
	{
#ifdef WIN7
		st = DbgkpSendApiMessage(DebugException, &m);
#else
		st = DbgkpSendApiMessage(PsGetThreadProcess(KeGetCurrentThread()), DebugException, &m);
#endif

}
	else if (ExceptionPort) {

st = DbgkpSendApiMessageLpc(&m, ExceptionPort, DebugException);
		ObfDereferenceObject(ExceptionPort);
	}
	else {
		m.ReturnedStatus = DBG_EXCEPTION_NOT_HANDLED;
		st = STATUS_SUCCESS;
	}

DbgPrintEx(77, 0, "[DbgHook] DbgkForwardException st=0x%08X ReturnedStatus=0x%08X\n", st, m.ReturnedStatus);

if (NT_SUCCESS(st))
	{

st = m.ReturnedStatus;

if (m.ReturnedStatus == DBG_EXCEPTION_NOT_HANDLED)
		{
			if (DebugException == TRUE)
			{
				DbgPrintEx(77, 0, "[DbgHook] DbgkForwardException return FALSE (not handled)\n");
				return FALSE;
			}

st = DbgkpSendErrorMessage(ExceptionRecord, 0, &m);
		}
	}

DbgPrintEx(77, 0, "[DbgHook] DbgkForwardException return %d\n", NT_SUCCESS(st));
	return NT_SUCCESS(st);
}
```
此时附加调试就hook完毕 
# 创建调试重构 
请先食用：3e7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6I4L8h3g2A6L8h3g2A6x3e0l9H3z5o6k6Q4x3X3g2Y4K9i4c8Z5N6h3u0Q4x3X3g2A6L8#2)9J5c8U0t1H3x3U0k6Q4x3V1j5H3z5q4)9J5c8U0p5@1i4K6u0r3N6$3W2F1i4K6t1#2c8e0g2Q4x3U0f1^5y4W2)9J5y4e0R3#2i4K6t1#2c8e0k6Q4x3U0g2m8x3q4)9J5y4f1t1^5i4K6t1#2c8e0S2Q4x3U0g2n7x3q4)9J5y4e0R3K6i4K6t1#2c8e0S2Q4x3U0g2m8c8W2)9J5y4e0V1#2i4K6t1#2c8e0g2Q4x3U0f1^5c8g2)9J5y4e0W2r3i4K6t1#2c8e0N6Q4x3U0f1&6x3q4)9J5y4e0R3$3i4K6t1#2c8e0k6Q4x3U0f1^5c8W2)9J5y4f1q4p5i4K6t1#2c8e0N6Q4x3U0g2m8y4#2)9J5y4e0V1^5y4g2)9J5k6q4)9J5y4f1f1#2i4K6t1#2z5o6S2Q4x3U0f1&6b7W2)9J5y4f1f1#2i4K6t1#2b7V1u0Q4x3U0g2n7b7g2)9J5y4f1f1^5i4K6t1#2b7U0m8Q4x3U0f1^5x3#2)9J5y4f1f1^5i4K6t1#2b7f1k6Q4x3U0f1&6y4g2)9J5c8R3`.`. 
注意：创建调试hook的都是高频使用函数，请不要使用dbgprint了，而且有概率会在hook时就被pg发现从而蓝屏 
创建调试顾名思义会创建进程，最终会走到NtCreateUserProcess
核心流程如下：
因为太长了，所以我们先完全调用原版创建流程。 
status = OrignalNtCreateUserProcess(...); 
然后检查当前进程是否存在调试记录： 
```c
if (pDebuginfo->SourceProcessId == PsGetCurrentProcessId()) 
{ 
 TmpDebuginfo = pDebuginfo; 
 isDebug = TRUE; 
} 
```
这里的含义是： 
当前进程 PID == 调试器 PID 
如果成立，就认为这是“由当前调试器创建的进程”。 
接着根据返回的进程句柄获取新进程对象： 
```c
status = ObReferenceObjectByHandle( 
 *ProcessHandle,
 0x0400,
 *PsProcessType,
 ExGetPreviousMode(),
 (void**)&temp_process,
 NULL);
```
然后执行以下额外逻辑。
1. 记录新创建进程的 PID
```c
HANDLE target_pid = PsGetProcessId(temp_process);
TmpDebuginfo->TargetProcessId = target_pid;
```
它把调试器 PID -> 新创建进程 PID 写入g_Debuginfo 
因此后续事件可以通过：TargetProcessId -> DebugObject -> 找到调试对象。 
2. 清除新进程的 DebugPort 
```c
PVOID DebugPort__ = GetProcess_DebugPort(temp_process);
if (*(ULONG64*)(DebugPort__) != 0)
{
 *(ULONG64*)(DebugPort__) = 0;
}
```
这一步是当前 hook 最重要的行为：
原版创建流程可能已经设置(如果在creatprocess里携带了相应信息)： 
```c
new_process->DebugPort = DebugObject 
```
当前 hook 随后改回： 
```c
new_process->DebugPort = NULL 
```
也就是说，原版流程先建立真实调试关联，你的 hook 在返回前把它隐藏掉，再依赖自己的 g_Debuginfo 路由后续事件。
3. 更新 PEB 的 BeingDebugged 
DbgkpMarkProcessPeb(temp_process)可能会置位Peb->BeingDebugged，我们直接让PEB.BeingDebugged = FALSE 
4. 清除 NO_DEBUG_INHERIT 
```c
PVOID Flags = GetProcess_ProcessFlags(temp_process);
*(PULONG64)Flags &= ~PS_PROCESS_FLAGS_NO_DEBUG_INHERIT;
```
这一步清除： 
PS_PROCESS_FLAGS_NO_DEBUG_INHERIT 
目的是让目标进程后续创建的子进程继续继承调试关系，或者避免该标志阻止调试事件继承 
最终代码 
```c
NTSTATUS NtCreateUserProcess(
	PHANDLE ProcessHandle,
	PETHREAD ThreadHandle,
	ACCESS_MASK ProcessDesiredAccess,
	ACCESS_MASK ThreadDesiredAccess,
	PVOID ProcessObjectAttributes,
	PVOID ThreadObjectAttributes,
	ULONG ProcessFlags,
	ULONG ThreadFlags,
	PVOID ProcessParameters,
	void* CreateInfo,
	void* AttributeList)
{
	NTSTATUS status = 0;
	status = OrignalNtCreateUserProcess(ProcessHandle,
		ThreadHandle,
		ProcessDesiredAccess,
		ThreadDesiredAccess,
		ProcessObjectAttributes,
		ThreadObjectAttributes,
		ProcessFlags,
		ThreadFlags,
		ProcessParameters,
		CreateInfo,
		AttributeList);

if (NT_SUCCESS(status) && ProcessHandle != NULL)
	{
		PDebugInfomation TmpDebuginfo = NULL;
		BOOLEAN isDebug = FALSE;
		KIRQL OldIrql = { 0 };
		KeAcquireSpinLock(&g_DebugLock, &OldIrql);
		for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
		{
			PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
			if (pDebuginfo->SourceProcessId == PsGetCurrentProcessId())
			{
				TmpDebuginfo = pDebuginfo;
				isDebug = TRUE;
				break;
			}
		}
		KeReleaseSpinLock(&g_DebugLock, OldIrql);

if (isDebug)
		{
			PEPROCESS temp_process = NULL;
			status = ObReferenceObjectByHandle(*ProcessHandle, 0x0400, *PsProcessType, ExGetPreviousMode(), (void**)&temp_process, NULL);
			if (!NT_SUCCESS(status))
				return status;

PVOID DebugPort__ = GetProcess_DebugPort(temp_process);
			if (*(ULONG64*)(DebugPort__) != 0)
			{
				HANDLE target_pid = PsGetProcessId(temp_process);
				TmpDebuginfo->TargetProcessId = target_pid;

*(ULONG64*)(DebugPort__) = 0;
				DbgkpMarkProcessPeb(temp_process);

PVOID Flags = GetProcess_ProcessFlags(temp_process);
				*(PULONG64)Flags &= ~PS_PROCESS_FLAGS_NO_DEBUG_INHERIT;
			}

}
	}
	return status;
}
```

## DbgkMapViewOfSection 和 DbgkUnMapViewOfSection
这几个函数可能会在加载dll比如loadlibraryA之类的地方被调用，如果检测到有调试对象，就发送模块加载的信息  
但是显然我们没有调试对象，因此逻辑如下
通过当前进程 PID  
    -> g_Debuginfo.TargetProcessId  
    -> DebugObject  
如果查不到：  
if (!DebugObject)  
    return;  
也就是直接丢弃模块加载事件。  
```c
VOID DbgkMapViewOfSection(
	PEPROCESS	Process,
	PVOID SectionObject,
	PVOID BaseAddress
)
{
	PTEB	Teb;
	HANDLE	hFile;
	DBGKM_APIMSG ApiMsg;
	PEPROCESS	CurrentProcess;
	PETHREAD	CurrentThread;
	PIMAGE_NT_HEADERS	pImageHeader;

hFile = NULL;
	CurrentProcess = (PEPROCESS)PsGetCurrentProcess();
	CurrentThread = (PETHREAD)PsGetCurrentThread();

if (ExGetPreviousMode() == KernelMode)
		return;

PDEBUG_OBJECT	DebugObject = NULL;
	KIRQL OldIrql = { 0 };
	KeAcquireSpinLock(&g_DebugLock, &OldIrql);
	for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
	{
		PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
		if (pDebuginfo->TargetProcessId == PsGetCurrentProcessId())
		{
			DebugObject = pDebuginfo->DebugObject;
			break;
		}
	}
	KeReleaseSpinLock(&g_DebugLock, OldIrql);

if (!DebugObject)
		return;

Teb = (PTEB)PsGetThreadTeb(CurrentThread);

if (Teb != NULL && Process == CurrentProcess)
	{
		if (!DbgkpSuppressDbgMsg(Teb))
		{
			ApiMsg.u.LoadDll.NamePointer = Teb->NtTib.ArbitraryUserPointer;
		}
		else {
			return;
		}
	}
	else {
		ApiMsg.u.LoadDll.NamePointer = NULL;
	}

hFile = DbgkpSectionToFileHandle(SectionObject);
	ApiMsg.u.LoadDll.FileHandle = hFile;
	ApiMsg.u.LoadDll.BaseOfDll = BaseAddress;
	ApiMsg.u.LoadDll.DebugInfoFileOffset = 0;
	ApiMsg.u.LoadDll.DebugInfoSize = 0;

_try{
		pImageHeader = RtlImageNtHeader(BaseAddress);
		if (pImageHeader != NULL)
		{
			ApiMsg.u.LoadDll.DebugInfoFileOffset = pImageHeader->FileHeader.PointerToSymbolTable;
			ApiMsg.u.LoadDll.DebugInfoSize = pImageHeader->FileHeader.NumberOfSymbols;
		}
	}_except(EXCEPTION_EXECUTE_HANDLER) {
		ApiMsg.u.LoadDll.DebugInfoFileOffset = 0;
		ApiMsg.u.LoadDll.DebugInfoSize = 0;
		ApiMsg.u.LoadDll.NamePointer = NULL;
	}
	ApiMsg.h.u1.Length = 0x500028;
	ApiMsg.h.u2.ZeroInit = 8;
	ApiMsg.ApiNumber = DbgKmLoadDllApi;

#ifdef WIN7
	DbgkpSendApiMessage(0x1, &ApiMsg);
#else
	DbgkpSendApiMessage(PsGetThreadProcess(KeGetCurrentThread()), 0x1, &ApiMsg);
#endif

if (ApiMsg.u.LoadDll.FileHandle != NULL)
	{
		ObCloseHandle(ApiMsg.u.LoadDll.FileHandle, KernelMode);
	}
}

VOID DbgkUnMapViewOfSection(
	PEPROCESS	Process,
	PVOID	BaseAddress)
{
	PTEB	Teb;
	DBGKM_APIMSG ApiMsg;
	PEPROCESS	CurrentProcess;
	PETHREAD	CurrentThread;

CurrentProcess = (PEPROCESS)PsGetCurrentProcess();
	CurrentThread = (PETHREAD)PsGetCurrentThread();

if (ExGetPreviousMode() == KernelMode)
		return;

if (!DebugObject)
		return;

//����ʡ����ϵͳ���̺͹ҿ����̵��ж�
	Teb = (PTEB)PsGetThreadTeb(CurrentThread);

if (Teb != NULL && Process == CurrentProcess)
	{
		if (DbgkpSuppressDbgMsg(Teb))
		{
			return;
		}
	}
	ApiMsg.u.UnloadDll.BaseAddress = BaseAddress;
	ApiMsg.h.u1.Length = 0x380010;
	ApiMsg.h.u2.ZeroInit = 8;
	ApiMsg.ApiNumber = DbgKmUnloadDllApi;

#ifdef WIN7
	DbgkpSendApiMessage(0x1, &ApiMsg);
#else
	DbgkpSendApiMessage(PsGetThreadProcess(KeGetCurrentThread()), 0x1, &ApiMsg);
#endif
}
```

## DbgkCreateThread
通过前面创建调试的知识，我们知道创建好的进程第一次被调度会执行PspUserThreadStartup，进而来到DbgkCreateThread，这里就是第一次向调试器发送事件的地方，也是断下来的地方，这里我们的处理也很简单，还是通过g_Debuginfo找到调试对象，然后发送调试事件，然后直接在此调用原版的DbgkCreateThread，因为没有debugport，就不会再发一次，而且会帮我们完成剩下的工作  
```c
VOID  DbgkCreateThread(
	PETHREAD Thread)
{
	PVOID Port;
	DBGKM_APIMSG m;
	PDBGKM_CREATE_THREAD CreateThreadArgs;
	PDBGKM_CREATE_PROCESS CreateProcessArgs;
	PEPROCESS Process = PsGetCurrentProcess();
	HANDLE ProcessId = PsGetCurrentProcessId();
	PDBGKM_LOAD_DLL LoadDllArgs;
	NTSTATUS Status;
	OBJECT_ATTRIBUTES Obja;
	IO_STATUS_BLOCK IoStatusBlock;
	PIMAGE_NT_HEADERS NtHeaders;
	PTEB Teb;

RtlZeroMemory(&m, sizeof(m));

BOOLEAN isDebug = FALSE;
	KIRQL OldIrql = { 0 };
	KeAcquireSpinLock(&g_DebugLock, &OldIrql);
	for (PLIST_ENTRY pListEntry = g_Debuginfo.List.Flink; pListEntry != &g_Debuginfo.List; pListEntry = pListEntry->Flink)
	{
		PDebugInfomation pDebuginfo = CONTAINING_RECORD(pListEntry, DebugInfomation, List);
		if (pDebuginfo->TargetProcessId == PsGetCurrentProcessId())
		{
			isDebug = TRUE;
			break;
		}
	}
	KeReleaseSpinLock(&g_DebugLock, OldIrql);

if (isDebug)
	{
		PVOID ProFlag = GetProcess_ProcessFlags(Process);
		ULONG OldFlags = RtlInterlockedSetBits(ProFlag, 0x400001);	//RtlInterlockedSetBits(&Process->Flags, 0x400001);֮ǰ���bug��win7�ͻ���֣����Ұ���
		if ((OldFlags & PS_PROCESS_FLAGS_CREATE_REPORTED) == 0)
		{
			CreateThreadArgs = &m.u.CreateProcessInfo.InitialThread;
			CreateThreadArgs->SubSystemKey = 0;

CreateProcessArgs = &m.u.CreateProcessInfo;
			CreateProcessArgs->SubSystemKey = 0;
			CreateProcessArgs->FileHandle = DbgkpSectionToFileHandle((PVOID) * (PULONG64)GetProcess_SectionObject(Process));
			CreateProcessArgs->BaseOfImage = (PVOID) * (PULONG64)GetProcess_SectionBaseAddress(Process);
			CreateThreadArgs->StartAddress = NULL;
			CreateProcessArgs->DebugInfoFileOffset = 0;
			CreateProcessArgs->DebugInfoSize = 0;

__try
			{
				NtHeaders = RtlImageNtHeader((PVOID) * (PULONG64)GetProcess_SectionBaseAddress(Process));
				if (NtHeaders)
				{
					if (PsGetProcessWow64Process(Process) != NULL)
					{
						CreateThreadArgs->StartAddress = UlongToPtr(DBGKP_FIELD_FROM_IMAGE_OPTIONAL_HEADER((PIMAGE_NT_HEADERS32)NtHeaders, ImageBase) + DBGKP_FIELD_FROM_IMAGE_OPTIONAL_HEADER((PIMAGE_NT_HEADERS32)NtHeaders, AddressOfEntryPoint));
					}
					else {
						CreateThreadArgs->StartAddress = (PVOID)(DBGKP_FIELD_FROM_IMAGE_OPTIONAL_HEADER(NtHeaders, ImageBase) + DBGKP_FIELD_FROM_IMAGE_OPTIONAL_HEADER(NtHeaders, AddressOfEntryPoint));
					}
					CreateProcessArgs->DebugInfoFileOffset = NtHeaders->FileHeader.PointerToSymbolTable;
					CreateProcessArgs->DebugInfoSize = NtHeaders->FileHeader.NumberOfSymbols;
				}
			}
			__except (EXCEPTION_EXECUTE_HANDLER)
			{
				CreateThreadArgs->StartAddress = NULL;
				CreateProcessArgs->DebugInfoFileOffset = 0;
				CreateProcessArgs->DebugInfoSize = 0;
			}

m.h.u1.Length = 0x600038;
			m.h.u2.ZeroInit = 8;
			m.ApiNumber = DbgKmCreateProcessApi;

#ifdef WIN7
			DbgkpSendApiMessage(FALSE, &m);
#else
			DbgkpSendApiMessage(Process, FALSE, &m);
#endif

if (CreateProcessArgs->FileHandle != NULL) {
				ObCloseHandle(CreateProcessArgs->FileHandle, KernelMode);
			}
			DbgkSendSystemDllMessages(0, 0, &m);
		}
		else
		{
			CreateThreadArgs = &m.u.CreateThread;
			CreateThreadArgs->SubSystemKey = 0;
			CreateThreadArgs->StartAddress = (PVOID) * (PULONG64)GetThread_StartAddress(Thread);

m.h.u1.Length = 0x400018;
			m.h.u2.ZeroInit = 8;
			m.ApiNumber = DbgKmCreateThreadApi;

#ifdef WIN7
			DbgkpSendApiMessage(TRUE, &m);
#else
			DbgkpSendApiMessage(Process, TRUE, &m);
#endif

}
	}

OriginalDbgkCreateThread(Thread);
}
```

# 成品
因为我的电脑是amd的，而且目前市面上开源svm调试器比较少，所以基于npt hook写了一个 
效果： 
 ![](upload/attach/202609/1055387_SVA7BQPC2CREDSF.webp)
这是普通调试器 
 ![](upload/attach/202609/1055387_4DXYUX3EDSDRKES.webp)
经过测试可以调试全版本启动了反调试的vmp 
视频演示：52fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1x3U0y4Q4x3X3g2@1N6W2)9J5c8U0S2v1L8K6x3^5b7X3R3`.
项目地址：880K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6c8L8h3g2A6L8h3g2A6x3e0l9H3z5o6k6Q4x3V1k6K6N6X3#2Q4x3X3c8V1j5X3M7`. 
希望留下你的star，本项目会持续开发哦~

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-9-2 18:01 被Qmeimei10086编辑，原因：

#调试逆向 #系统底层 #VM保护

收藏・46

点赞・163

打赏

赞赏记录

参与人

雪币

留言

时间

mb_upwdhwxa

你的帖子非常有用，感谢分享！

7小时前

东关之南

谢谢你的细致分析，受益匪浅！

10小时前

S极客

你的分享对大家帮助很大，非常感谢！

1天前

mb_lnxttzjl

感谢你的贡献，论坛因你而更加精彩！

3天前

BS10

为你点赞！

4天前

上网鱼

感谢你的积极参与，期待更多精彩内容！

6天前

wx_uzgw

为你点赞！

2026-9-15 22:18

mb_rrvlrvbk

感谢你的积极参与，期待更多精彩内容！

2026-9-15 11:21

mb_qpasyzmz

谢谢你的细致分析，受益匪浅！

2026-9-14 03:22

红棕熊

感谢你的积极参与，期待更多精彩内容！

2026-9-13 11:15

wx_Devil_392

你的分享对大家帮助很大，非常感谢！

2026-9-13 02:04

小柯南

谢谢你的细致分析，受益匪浅！

2026-9-13 00:50

Eclora

期待更多优质内容的分享，论坛有你更精彩！

2026-9-12 14:17

木志本柯

期待更多优质内容的分享，论坛有你更精彩！

2026-9-12 11:26

pexillove

这个讨论对我很有帮助，谢谢！

2026-9-11 22:26

wx_null_292

你的分享对大家帮助很大，非常感谢！

2026-9-11 21:59

寒冰心结

为你点赞！

2026-9-11 19:28

git_95350bimapopo345

谢谢你的细致分析，受益匪浅！

2026-9-11 14:25

青史无疆

期待更多优质内容的分享，论坛有你更精彩！

2026-9-11 01:06

ShadowSsdt

你的帖子非常有用，感谢分享！

2026-9-10 19:44

cccwwdd

这个讨论对我很有帮助，谢谢！

2026-9-10 19:27

Kcuaghx

感谢你的积极参与，期待更多精彩内容！

2026-9-10 15:31

git_51951meggadf3df

非常支持你的观点！

2026-9-10 10:55

我不是深渊

为你点赞！

2026-9-10 08:51

wowocock

谢谢你的细致分析，受益匪浅！

2026-9-9 17:34

mb_tuinapal

感谢你的积极参与，期待更多精彩内容！

2026-9-9 13:16

mb_cphxfsuy

感谢你的贡献，论坛因你而更加精彩！

2026-9-9 09:36

晨曦。

为你点赞！

2026-9-9 07:05

mb_townofbh

期待更多优质内容的分享，论坛有你更精彩！

2026-9-9 05:50

DingDangCatt

你的分享对大家帮助很大，非常感谢！

2026-9-8 22:02

Xhani

感谢你的积极参与，期待更多精彩内容！

2026-9-8 20:41

nulles

你的帖子非常有用，感谢分享！

2026-9-8 17:40

LGspace

非常支持你的观点！

2026-9-8 11:18

嫉妒的死远点

为你点赞！

2026-9-8 03:20

铭信

感谢你分享这么好的资源！

2026-9-7 21:48

_DriverEntry

期待更多优质内容的分享，论坛有你更精彩！

2026-9-7 21:30

maxwudi

感谢你分享这么好的资源！

2026-9-7 19:23

DannysMask

你的分享对大家帮助很大，非常感谢！

2026-9-7 16:15

MochaCo

为你点赞！

2026-9-7 15:56

醉染

为你点赞！

2026-9-7 15:48

pysafe

期待更多优质内容的分享，论坛有你更精彩！

2026-9-6 23:33

jyotidwi

感谢你的贡献，论坛因你而更加精彩！

2026-9-6 20:21

Reverser07

非常支持你的观点！

2026-9-6 16:55

eappple

你的帖子非常有用，感谢分享！

2026-9-6 14:21

redbg

谢谢你的细致分析，受益匪浅！

2026-9-6 13:32

PLEBFE

感谢你的贡献，论坛因你而更加精彩！

2026-9-6 08:51

心游尘世外

感谢你的贡献，论坛因你而更加精彩！

2026-9-6 08:20

東陽不列山

为你点赞！

2026-9-6 07:05

mb_wugisqlm

这个讨论对我很有帮助，谢谢！

2026-9-6 04:20

飘零丶

感谢你的贡献，论坛因你而更加精彩！

2026-9-6 04:01

一路南寻

为你点赞！

2026-9-6 03:30

wuli鸭蛋君

期待更多优质内容的分享，论坛有你更精彩！

2026-9-5 21:26

mb_evjomntf

谢谢你的细致分析，受益匪浅！

2026-9-5 20:56

n013ody

你的分享对大家帮助很大，非常感谢！

2026-9-5 20:02

DEADC0DE

谢谢你的细致分析，受益匪浅！

2026-9-5 18:05

KALI_MC

感谢你的积极参与，期待更多精彩内容！

2026-9-5 14:12

爱吃蔬菜饺子

为你点赞！

2026-9-5 11:18

xiaoyu777

你的帖子非常有用，感谢分享！

2026-9-5 11:02

iCookiie

感谢你分享这么好的资源！

2026-9-5 10:09

付诸笑谈

感谢你的贡献，论坛因你而更加精彩！

2026-9-5 08:14

鐵憨憨

感谢你的贡献，论坛因你而更加精彩！

2026-9-5 01:50

CRoot

谢谢你的细致分析，受益匪浅！

2026-9-5 00:25

mb_ovbvprdq

感谢你分享这么好的资源！

2026-9-4 23:01

风兮木晓

你的帖子非常有用，感谢分享！

2026-9-4 17:57

mb_lgtsulbs

感谢你的积极参与，期待更多精彩内容！

2026-9-4 16:05

Dr_Knox

感谢你的贡献，论坛因你而更加精彩！

2026-9-4 14:54

khacker

你的帖子非常有用，感谢分享！

2026-9-4 14:42

REPE

感谢你分享这么好的资源！

2026-9-4 13:40

聂风云

非常支持你的观点！

2026-9-4 11:50

mb_liueenqt

感谢你的积极参与，期待更多精彩内容！

2026-9-4 11:47

边缘

为你点赞！

2026-9-4 11:09

git_96499ch3va

非常支持你的观点！

2026-9-4 10:52

小调调

这个讨论对我很有帮助，谢谢！

2026-9-4 10:02

sssccc

你的帖子非常有用，感谢分享！

2026-9-4 09:27

mb_skgcjejl

为你点赞！

2026-9-4 04:44

AlwaysBetter

感谢你的贡献，论坛因你而更加精彩！

2026-9-4 01:25

我的小拇指啊

期待更多优质内容的分享，论坛有你更精彩！

2026-9-3 20:49

曾经想念的，已成空想

你的分享对大家帮助很大，非常感谢！

2026-9-3 20:44

日暮归途

这个讨论对我很有帮助，谢谢！

2026-9-3 19:29

Steesha

感谢你的积极参与，期待更多精彩内容！

2026-9-3 18:12

mb_bogoqnvg

你的分享对大家帮助很大，非常感谢！

2026-9-3 17:41

yirucandy

这个讨论对我很有帮助，谢谢！

2026-9-3 16:58

git_29923DEV-C-PY

你的分享对大家帮助很大，非常感谢！

2026-9-3 16:55

值得怀疑

感谢你分享这么好的资源！

2026-9-3 16:30

墨穹呢

这个讨论对我很有帮助，谢谢！

2026-9-3 16:29

wx_苏_591

这个讨论对我很有帮助，谢谢！

2026-9-3 16:23

5m10v3

非常支持你的观点！

2026-9-3 15:29

孤独的街

你的帖子非常有用，感谢分享！

2026-9-3 15:04

cr_lgdx

为你点赞！

2026-9-3 13:55

Dy1an

感谢你的贡献，论坛因你而更加精彩！

2026-9-3 12:59

wx_Sakura_214433

非常支持你的观点！

2026-9-3 12:53

mb_ovmxbmhd

期待更多优质内容的分享，论坛有你更精彩！

2026-9-3 11:44

mb_thmdyxrm

你的帖子非常有用，感谢分享！

2026-9-3 11:42

七夜大大

期待更多优质内容的分享，论坛有你更精彩！

2026-9-3 11:09

wonghouleong

这个讨论对我很有帮助，谢谢！

2026-9-3 11:07

尺间萤火

你的分享对大家帮助很大，非常感谢！

2026-9-3 10:38

逆向小玖

你的分享对大家帮助很大，非常感谢！

2026-9-3 09:52

ShredderXP

你的分享对大家帮助很大，非常感谢！

2026-9-3 09:46

Eeeekbaby

你的分享对大家帮助很大，非常感谢！

2026-9-3 09:12

小巫

感谢你分享这么好的资源！

2026-9-3 08:47

milko

你的分享对大家帮助很大，非常感谢！

2026-9-3 08:46

UserXCh

为你点赞！

2026-9-3 08:15

ldljlzw

感谢你分享这么好的资源！

2026-9-3 07:21

nekaxi

感谢你分享这么好的资源！

2026-9-3 04:17

阿秋需要push

这个讨论对我很有帮助，谢谢！

2026-9-3 01:03

dangluan

非常支持你的观点！

2026-9-2 23:25

heimei

你的帖子非常有用，感谢分享！

2026-9-2 23:09

Yecate

为你点赞！

2026-9-2 21:58

lialong

感谢你的贡献，论坛因你而更加精彩！

2026-9-2 20:18

mb_aimiyfrp

感谢你的积极参与，期待更多精彩内容！

2026-9-2 19:52

zhczf

谢谢你的细致分析，受益匪浅！

2026-9-2 19:12

loqich

这个讨论对我很有帮助，谢谢！

2026-9-2 19:05

萌克力

为你点赞！

2026-9-2 18:57

Cubic

感谢你的积极参与，期待更多精彩内容！

2026-9-2 18:21

mb_gninzeph

为你点赞！

2026-9-2 17:44

地奇

为你点赞！

2026-9-2 17:40

长剑一杯酒

为你点赞！

2026-9-2 17:39

JAVAWEB

为你点赞！

2026-9-2 17:24

xuanzee

为你点赞！

2026-9-2 17:23

xxxark

为你点赞！

2026-9-2 17:02

samshine

感谢你的贡献，论坛因你而更加精彩！

2026-9-2 17:00

岁月。

你的帖子非常有用，感谢分享！

2026-9-2 16:44

X66iaM

这个讨论对我很有帮助，谢谢！

2026-9-2 16:33

Liv_T

你的帖子非常有用，感谢分享！

2026-9-2 16:21

hkdong

感谢你分享这么好的资源！

2026-9-2 16:07

兔子先生_168490

这个讨论对我很有帮助，谢谢！

2026-9-2 14:19

the_hs

这个讨论对我很有帮助，谢谢！

2026-9-2 11:30

coNg叶

为你点赞！

2026-9-2 10:56

令狐双

为你点赞！

2026-9-2 10:46

mb_haaygihg

这个讨论对我很有帮助，谢谢！

2026-9-2 10:38

mb_cebxltxx

为你点赞！

2026-9-2 10:33

只会逆一点点

感谢你的贡献，论坛因你而更加精彩！

2026-9-2 10:23

juice4fun

这个讨论对我很有帮助，谢谢！

2026-9-2 10:22

麻木的时间

你的帖子非常有用，感谢分享！

2026-9-2 10:21

huangyalei

你的分享对大家帮助很大，非常感谢！

2026-9-2 10:18

末日大哥

感谢你的积极参与，期待更多精彩内容！

2026-9-2 10:15

林动11

感谢你的贡献，论坛因你而更加精彩！

2026-9-2 10:11

mb_kphqygvr

为你点赞！

2026-9-2 10:08

煜凡

非常支持你的观点！

2026-9-2 09:55

马来

为你点赞！

2026-9-2 09:51

mb_dtidoewd

非常支持你的观点！

2026-9-2 09:50

asd

感谢你分享这么好的资源！

2026-9-2 09:47

tank小王子

非常支持你的观点！

2026-9-2 09:43

gcodeer

感谢你分享这么好的资源！

2026-9-2 09:36

uvbs

感谢你分享这么好的资源！

2026-9-2 09:26

appview

这个讨论对我很有帮助，谢谢！

2026-9-2 09:11

ONewTach

非常支持你的观点！

2026-9-2 09:09

qqizai

期待更多优质内容的分享，论坛有你更精彩！

2026-9-2 09:08

Hook你的心跳

为你点赞！

2026-9-2 08:44

dxzhang

这个讨论对我很有帮助，谢谢！

2026-9-2 07:11

熟悉而又陌生

为你点赞！

2026-9-2 04:45

wbaby1988

非常支持你的观点！

2026-9-2 01:28

mb_cntjvjao

为你点赞！

2026-9-2 00:20

friendanx

感谢你的贡献，论坛因你而更加精彩！

2026-9-1 23:29

lovezeng

谢谢你的细致分析，受益匪浅！

2026-9-1 23:21

不见水空流

感谢你分享这么好的资源！

2026-9-1 23:02

jx2024

你的帖子非常有用，感谢分享！

2026-9-1 23:00

mb_qtvylfog

感谢你分享这么好的资源！

2026-9-1 22:54

Lnju

感谢你的积极参与，期待更多精彩内容！

2026-9-1 22:54

顽劣

感谢你的贡献，论坛因你而更加精彩！

2026-9-1 22:48

X-Blades

感谢你分享这么好的资源！

2026-9-1 22:33

MsScotch

非常支持你的观点！

2026-9-1 22:24

wx_0.0_522

期待更多优质内容的分享，论坛有你更精彩！

2026-9-1 22:10

最新回复 (123) 1 2 3 4 5 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 692 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2026-9-2 00:51 0
初学者有毅力雪币： 190 活跃值： (1506) 能力值： ( LV3，RANK：26 ) 在线值：发帖 7 回帖 53 粉丝 1 关注私信	初学者有毅力 3 楼期待更多优质内容的分享，论坛有你更精彩！ 2026-9-2 01:08 0
空处雪币： 11871 活跃值： (7868) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 66 粉丝 2 关注私信	空处 4 楼多谢分享 2026-9-2 06:37 0
BitWarden 雪币： 2473 活跃值： (1910) 能力值： ( LV8，RANK：120 ) 在线值：发帖 10 回帖 53 粉丝 70 关注私信	BitWarden 2 5 楼 6 2026-9-2 09:26 0
gcodeer 雪币： 4607 活跃值： (5463) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 77 粉丝 3 关注私信	gcodeer 6 楼感谢分享 2026-9-2 09:36 0
蜜蜂啊雪币： 600 活跃值： (3743) 能力值： ( LV4，RANK：42 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	蜜蜂啊 7 楼谢谢分析 2026-9-2 11:17 0
OverCL0ck 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	OverCL0ck 8 楼 1 2026-9-2 11:39 0
xingbing 雪币： 158 活跃值： (5686) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1378 粉丝 2 关注私信	xingbing 9 楼多谢分享 !!! 2026-9-2 13:01 0
啊你好哇123 雪币： 735 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 362 粉丝 0 关注私信	啊你好哇123 10 楼先学习 2026-9-2 13:23 0
fengyunabc 雪币： 5368 活跃值： (6177) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 632 粉丝 27 关注私信	fengyunabc 1 11 楼感谢分享。 2026-9-2 14:04 0
Abelly 雪币： 388 活跃值： (2750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 2 关注私信	Abelly 12 楼感谢分享。 2026-9-2 14:11 0
tutuj 雪币： 1908 活跃值： (7478) 能力值： ( LV7，RANK：118 ) 在线值：发帖 17 回帖 102 粉丝 67 关注私信	tutuj 13 楼 666 2026-9-2 14:46 0
mb_cuitmohb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 58 粉丝 0 关注私信	mb_cuitmohb 14 楼 666 2026-9-2 16:03 0
mb_lkyfvjtt 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_lkyfvjtt 15 楼感谢分享 2026-9-2 16:19 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 16 楼 mark 2026-9-2 16:46 0
xyzliao 雪币： 657 活跃值： (5613) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 127 粉丝 4 关注私信	xyzliao 17 楼 6 2026-9-2 16:59 0
joker陈雪币： 12249 活跃值： (4400) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 367 粉丝 4 关注私信	joker陈 18 楼 6 2026-9-2 17:51 1
小光前辈雪币： 1210 活跃值： (2097) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 45 粉丝 0 关注私信	小光前辈 19 楼感谢分享 2026-9-2 17:58 0
zhaolulu 雪币： 3901 活跃值： (4842) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 0 关注私信	zhaolulu 20 楼感谢分享 2026-9-2 18:35 0
basketwill 雪币： 4487 活跃值： (3386) 能力值： ( LV9，RANK：160 ) 在线值：发帖 31 回帖 204 粉丝 88 关注私信	basketwill 2 21 楼感谢分享 2026-9-2 19:37 0
道破红尘雪币： 143 活跃值： (2798) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 61 粉丝 10 关注私信	道破红尘 22 楼感谢分享 2026-9-2 22:22 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 118 粉丝 0 关注私信	mb_urzqsoer 23 楼嗦嘚嘶嘞 2026-9-3 02:01 0
mb_blekbmgh 雪币： 184 活跃值： (295) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_blekbmgh 24 楼感谢分享 2026-9-3 02:47 0
As萧萧雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	As萧萧 25 楼 666666666666666666 2026-9-3 04:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Qmeimei10086

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (123) 1 2 3 4 5 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 692 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2026-9-2 00:51 0
初学者有毅力雪币： 190 活跃值： (1506) 能力值： ( LV3，RANK：26 ) 在线值：发帖 7 回帖 53 粉丝 1 关注私信	初学者有毅力 3 楼期待更多优质内容的分享，论坛有你更精彩！ 2026-9-2 01:08 0
空处雪币： 11871 活跃值： (7868) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 66 粉丝 2 关注私信	空处 4 楼多谢分享 2026-9-2 06:37 0
BitWarden 雪币： 2473 活跃值： (1910) 能力值： ( LV8，RANK：120 ) 在线值：发帖 10 回帖 53 粉丝 70 关注私信	BitWarden 2 5 楼 6 2026-9-2 09:26 0
gcodeer 雪币： 4607 活跃值： (5463) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 77 粉丝 3 关注私信	gcodeer 6 楼感谢分享 2026-9-2 09:36 0
蜜蜂啊雪币： 600 活跃值： (3743) 能力值： ( LV4，RANK：42 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	蜜蜂啊 7 楼谢谢分析 2026-9-2 11:17 0
OverCL0ck 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	OverCL0ck 8 楼 1 2026-9-2 11:39 0
xingbing 雪币： 158 活跃值： (5686) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1378 粉丝 2 关注私信	xingbing 9 楼多谢分享 !!! 2026-9-2 13:01 0
啊你好哇123 雪币： 735 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 362 粉丝 0 关注私信	啊你好哇123 10 楼先学习 2026-9-2 13:23 0
fengyunabc 雪币： 5368 活跃值： (6177) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 632 粉丝 27 关注私信	fengyunabc 1 11 楼感谢分享。 2026-9-2 14:04 0
Abelly 雪币： 388 活跃值： (2750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 2 关注私信	Abelly 12 楼感谢分享。 2026-9-2 14:11 0
tutuj 雪币： 1908 活跃值： (7478) 能力值： ( LV7，RANK：118 ) 在线值：发帖 17 回帖 102 粉丝 67 关注私信	tutuj 13 楼 666 2026-9-2 14:46 0
mb_cuitmohb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 58 粉丝 0 关注私信	mb_cuitmohb 14 楼 666 2026-9-2 16:03 0
mb_lkyfvjtt 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_lkyfvjtt 15 楼感谢分享 2026-9-2 16:19 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 16 楼 mark 2026-9-2 16:46 0
xyzliao 雪币： 657 活跃值： (5613) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 127 粉丝 4 关注私信	xyzliao 17 楼 6 2026-9-2 16:59 0
joker陈雪币： 12249 活跃值： (4400) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 367 粉丝 4 关注私信	joker陈 18 楼 6 2026-9-2 17:51 1
小光前辈雪币： 1210 活跃值： (2097) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 45 粉丝 0 关注私信	小光前辈 19 楼感谢分享 2026-9-2 17:58 0
zhaolulu 雪币： 3901 活跃值： (4842) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 28 粉丝 0 关注私信	zhaolulu 20 楼感谢分享 2026-9-2 18:35 0
basketwill 雪币： 4487 活跃值： (3386) 能力值： ( LV9，RANK：160 ) 在线值：发帖 31 回帖 204 粉丝 88 关注私信	basketwill 2 21 楼感谢分享 2026-9-2 19:37 0
道破红尘雪币： 143 活跃值： (2798) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 61 粉丝 10 关注私信	道破红尘 22 楼感谢分享 2026-9-2 22:22 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 118 粉丝 0 关注私信	mb_urzqsoer 23 楼嗦嘚嘶嘞 2026-9-3 02:01 0
mb_blekbmgh 雪币： 184 活跃值： (295) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_blekbmgh 24 楼感谢分享 2026-9-3 02:47 0
As萧萧雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	As萧萧 25 楼 666666666666666666 2026-9-3 04:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复