[原创] 巧妙利用ptehook的特性重建创建调试的调试通道-编程技术-看雪安全社区

# 前情提要
前几天不是发了一个利用npt hook重建调试通道的文章：https://bbs.kanxue.com/thread-292825.htm    
虽然是老掉牙的技术，但是反响意外的还不错   
为了脱壳，这几天在研究创建调试时，发现npt hook一个不可避免的事情，效率太差了，尤其是在虚拟机里。。。   
创建调试需要hook两个及其高频的函数：   
NtCreatUserProcess，DbgkCreateThread  
前者还好，是ssdt里的函数，我们可以用etw hook，效率还行  
DbgkCreateThread就糟糕了，他不是ssdt里的函数，而且创建线程这种这种事情几乎是无时无刻不在发生，一hook就卡的系统不能用，我只能另寻其他hook  
因为有pg，能够hook这些未导出的内核函数的hook太少了，可以的话我还是不希望搞打pg这么麻烦的事  
有没有一种只能针对一个进程的内核函数hook呢？这样子还能避免高频调用导致的系统卡顿  
于是我想到ptehook  
# PTE hook
参考：<mark class="encrypted">c9eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5P5W2)9J5k6h3q4D9K9i4W2#2L8W2)9J5k6h3y4G2L8g2)9J5c8X3&6W2N6%4y4Q4x3V1j5I4z5o6V1&6z5b7`.`.</mark>  
值针对一个进程，不会pg。。。ptehook就是一种挺完美的办法。。吗？  
让我们回忆创建调试，调试器调用完NtCreatUserProces，把创建的进程的第一次线程放入等待队列，然后就跑路了，此时是等待cpu去第一次调度  
但是对于被调试进程，我们至少要hook DbgkpQueueMessage DbgkForwardException KiDispatchException，难道说我们要抢先cpu第一次调度之前去hook？这显然不可能  
但是我突然想起之前调试ptehook时发现的奇怪现象： 
我们hook explorer进程的NtCreateFile给hook了，如果检查到参数是tips.txt，就会返回无权限  
也就是我们无法打开tips.txt了  
我们隔离了exploere.exe，用他打开tips.txt。。。打不开，超级正常  
但是我们在**桌面**双击启动我安装好的notpad++，然后把tips.exe打开。。。打不开？？？？  
我们在windbg里切换到notpad++的上下文，使用命令u NtCreateFile，竟然第一条时jmp！这不是明显给hook过了  
但是假如你在hook前提前启动一个cmd，然后装载驱动，然后用cmd启动notpad++，欸嘿，正常打开  
后来拷打ai发现其原因是：  
**pml4t具有继承关系，注意我们“在桌面”启动，这时候其实就是explorer启动了notpad++，操作系统为了速度，直接复制了启动者高位的pml4e给他，导致他的也继承了hook了**  
这太好了，这样子我们的调试器调用NtCreatUserProces创建进程时，也会继承我们的hook  
于是我拷打ai，烹饪出来成品：  
# pte-dbg
效果:   
 ![](upload/attach/202609/1055387_ZYN6KAU35MZT74D.webp)
调试个vmp还是没问题的，而且创建调试的主要应用场景不正是脱壳吗？  
甚至不需要虚拟化，或者说不能开虚拟化  
因为如果开了虚拟化，会给cr4.cet置位，此时我们就不能开启内核强写了，ptehook也就无法完成  
同时我也支持了附加调试，感觉调试一些反作弊比较弱的游戏还是没问题的  
项目地址：<mark class="encrypted">3ebK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6c8L8h3g2A6L8h3g2A6x3e0l9H3z5o6k6Q4x3V1k6H3N6r3g2Q4x3X3c8V1j5X3M7`.</mark>
点个star谢谢喵~

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-9-5 15:41 被Qmeimei10086编辑，原因：

#系统内核 #驱动开发 #HOOK/注入 #开源分享 #工具脚本

最新回复 (44) 1 2 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 695 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2026-9-5 18:43 0
逆向爱好者雪币： 3550 活跃值： (7859) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 284 粉丝 24 关注私信	逆向爱好者 3 楼看看 2026-9-5 19:19 0
wx_SC 雪币： 1 活跃值： (468) 能力值： ( LV2，RANK：11 ) 在线值：发帖 1 回帖 11 粉丝 0 关注私信	wx_SC 4 楼感谢分享 2026-9-5 19:35 0
xtherk 雪币： 82 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	xtherk 5 楼看看 2026-9-5 22:48 0
wx_奔放奔放奔放雪币： 0 活跃值： (339) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	wx_奔放奔放奔放 6 楼看看 2026-9-6 12:52 0
芜湖怪盗雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	芜湖怪盗 7 楼牛逼 2026-9-6 13:06 0
zengsunsan 雪币： 153 活跃值： (1713) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 1 关注私信	zengsunsan 8 楼牛逼 2026-9-6 13:12 0
Deice 雪币： 113 活跃值： (2095) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	Deice 9 楼 look look 2026-9-6 17:27 0
javaphy 雪币： 188 活跃值： (1163) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 35 粉丝 1 关注私信	javaphy 10 楼 NB 2026-9-6 17:37 0
啊你好哇123 雪币： 753 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 367 粉丝 0 关注私信	啊你好哇123 11 楼学习学习 2026-9-6 18:27 0
WanPJ007 雪币： 1999 活跃值： (371) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	WanPJ007 12 楼学习学习 2026-9-6 20:56 0
mb_aopnnvxb 雪币： 97 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 79 粉丝 0 关注私信	mb_aopnnvxb 13 楼 mark 2026-9-6 23:09 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 212 粉丝 1 关注私信	wx_Huber Barrientos 14 楼 666 2026-9-6 23:24 0
拍拖雪币： 2790 活跃值： (7063) 能力值： ( LV6，RANK：90 ) 在线值：发帖 22 回帖 430 粉丝 15 关注私信	拍拖 2 15 楼感谢你分享 2026-9-7 07:06 0
随风丶雪币： 12 活跃值： (930) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	随风丶 16 楼学习学习 2026-9-7 13:32 0
Midsw 雪币： 29 活跃值： (1310) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 130 粉丝 1 关注私信	Midsw 17 楼 6666666666 2026-9-7 13:51 0
niceli 雪币： 255 活跃值： (1017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 82 粉丝 1 关注私信	niceli 18 楼 6666666666 2026-9-7 16:11 0
dangluan 雪币： 0 活跃值： (4860) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	dangluan 19 楼 look look 2026-9-7 22:48 0
mb_niimcqnj 雪币： 395 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	mb_niimcqnj 20 楼感谢分享 2026-9-8 09:59 0
tutuj 雪币： 1908 活跃值： (7493) 能力值： ( LV7，RANK：118 ) 在线值：发帖 17 回帖 103 粉丝 67 关注私信	tutuj 21 楼 1 2026-9-8 10:32 0
mb_llakvlta 雪币： 25 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 45 粉丝 0 关注私信	mb_llakvlta 22 楼 6666666666666666666666 2026-9-8 20:51 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 23 楼 666 2026-9-9 01:48 0
cschenhui 雪币： 290 活跃值： (220) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 123 粉丝 0 关注私信	cschenhui 24 楼 6 2026-9-9 14:01 0
好听的网名雪币： 2888 活跃值： (3463) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	好听的网名 25 楼 66666666 2026-9-9 17:43 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复