关于过某P的双机联调
标题: 关于过某P的双机联调作者:upupc
时间:2013-03-05,18:20:57
链接:http://bbs.pediy.com/showthread.php?t=163630
最近公司没啥事做，闲的蛋疼，于是来研究下怎么过某游戏驱动保护的双机联调。
调试环境:win7+windbg+VirtualKD＋vmware(虚拟机装的XPSP3)
xp内核：ntkrnlpa.exe
理论知识准备：windbg双机联调的配置和内核调式器原理，这方面谷歌上大把资料，自己找吧。
我们都知道，在虚拟机上运行有驱动保护的游戏后，windbg就会没办法下断了，准确点说是windbg不会再收到目标机的任何数据，所以这时候外在现象就是windbg虽然仍然显示连接中，但是所有的功能都用不了。
要解决这个问题，我们首先要换位思考，如果是你，你怎么实现这个功能，最简单的方法当然是调用内核现成的API来实现禁用调试这个功能，于是查找内核API，发现有个KdDisableDebugger函数，从名字看就知道是干啥的了。
先在windbg查看函数具体实现，如下：
804f779c8bffmovedi,edi
804f779e55pushebp
804f779f8becmovebp,esp
804f77a151pushecx
804f77a2b102movcl,2
804f77a4ff15f4864d80calldwordptr
804f77aa8845ffmovbyteptr,al
804f77ade81c010000callnt!KdpPortLock(804f78ce)
804f77b2833dc8d5548000cmpdwordptr,0
804f77b9753ajnent!KdDisableDebugger+0x59(804f77f5)
nt!KdDisableDebugger+0x1f:
804f77bba0c1d55480moval,byteptr
804f77c084c0testal,al
804f77c27410jent!KdDisableDebugger+0x38(804f77d4)
nt!KdDisableDebugger+0x28:
804f77c4803dfc6f548000cmpbyteptr,0
804f77cbc605ccd5548001movbyteptr,1
804f77d27407jent!KdDisableDebugger+0x3f(804f77db)
nt!KdDisableDebugger+0x38:
804f77d4c605ccd5548000movbyteptr,0
nt!KdDisableDebugger+0x3f:
804f77db84c0testal,al
804f77dd7416jent!KdDisableDebugger+0x59(804f77f5)
nt!KdDisableDebugger+0x43:
804f77dfe8baa31600callnt!KdpSuspendAllBreakpoints(80661b9e)
804f77e4c70504405580867c4f80movdwordptr,offsetnt!KdpStub(804f7c86)
804f77eec605c1d5548000movbyteptr,0
nt!KdDisableDebugger+0x59:
804f77f5ff05c8d55480incdwordptr
804f77fbe8de000000callnt!KdpPortUnlock(804f78de)
804f78008a4dffmovcl,byteptr
804f7803ff151c874d80calldwordptr
804f7809c9leave
804f780ac3ret
发现在nt!KdDisableDebugger+0x43处，是API真正起作用的地方
首先callnt!KdpSuspendAllBreakpoints挂起所有的断点，执行完这个call，windbg会从断开状态变为运行状态
然后nt!KiDebugRoutine变量设为nt!KdpStub
最后nt!KdDebuggerEnabled变量设为0，也就是false
这三条指令执行后，windbg也就无法再继续调试了
这里需要注意KiDebugRoutine，这是一个函数变量，内核调试绝大部分工作都是调用该变量所指向的函数来实现的，那么这里将它赋值为KdpStub是什么意思呢?
原来在内核中，有两个API实现了内核调试的功能，KdpStub和KdpTrap，这两个函数有什么区别呢？KdpStub是在非调试情况下使用的API，也就是说在非调式情况下KiDebugRoutine应该是指向KdpStub的，而KdpStub基本上没做什么调试的事情，而所有和调试相关的工作则都放到了KdpTrap里，所以，要想保持windbg可以使用，则要保证KiDebugRoutine是指向KdpTrap的。
分析完毕，那么要现在看游戏保护是否真的调用了KdDisableDebugger。
在KdDisableDebugger开头下断点，启动游戏。
windbg断下来了，看来是真的调用了这个函数，那么现在我们要让这个函数失去作用。
windbg输入ewKdDisableDebugger0xc390,意思是修改KdDisableDebugger头两个字节，变为：
kd>uKdDisableDebugger
nt!KdDisableDebugger:
804f779c90nop
804f779dc3ret
现在KdDisableDebugger会直接返回，不在起作用。
当然，事情远没有这么简单，取消断点继续执行后，会发现windbg还是没办法用。
看来游戏保护在调用KdDisableDebugger后还做了其他的事情。
一切重来，重启虚拟机XP，修改KdDisableDebugger为直接返回，下断KdDisableDebugger。
运行游戏，断下来后，单步执行两次，返回到上一层函数，整个函数如下
ee1a5fcaa16c6b1beemoveax,dwordptr
ee1a5fcf8b0d686b1beemovecx,dwordptr
ee1a5fd556pushesi
ee1a5fd68b7028movesi,dwordptr
ee1a5fd957pushedi
ee1a5fda8b782cmovedi,dwordptr
ee1a5fdd33f1xoresi,ecx
ee1a5fdf33f9xoredi,ecx
ee1a5fe1eb4bjmpTesSafe+0x702e(ee1a602e)
ee1a5fe3803d6d221bee00cmpbyteptr,0
ee1a5fea7516jneTesSafe+0x7002(ee1a6002)
ee1a5fec688a4d6e43push436E4D8Ah
ee1a5ff16876426e57push576E4276h
ee1a5ff6e873caffffcallTesSafe+0x3a6e(ee1a2a6e)
ee1a5ffbc6056d221bee01movbyteptr,1
ee1a600285fftestedi,edi
ee1a60047404jeTesSafe+0x700a(ee1a600a)
ee1a6006ffd7calledi
ee1a6008eb24jmpTesSafe+0x702e(ee1a602e)
ee1a600a803d6e221bee00cmpbyteptr,0
ee1a6011751bjneTesSafe+0x702e(ee1a602e)
ee1a60136812010000push112h
ee1a601868e64d6e43push436E4DE6h
ee1a601d6873426e57push576E4273h
ee1a6022e865caffffcallTesSafe+0x3a8c(ee1a2a8c)
ee1a6027c6056e221bee01movbyteptr,1
ee1a602e803e00cmpbyteptr,0
ee1a603175b0jneTesSafe+0x6fe3(ee1a5fe3)
ee1a60335fpopedi
ee1a60345epopesi
ee1a6035c3ret
上图红色部分为当前CPU要执行的指令，继续往下执行，会发现ee1a6031处会直接跳转会该函数前面，分析它的跳转条件，cmpbyteptr,0，执行到这里时，查看下esi的值，发现为8054d5c1，回想下KdDisableDebugger函数实现，里面有个变量KdDebuggerEnabled的地址也为8054d5c1，也就是说在调用了KdDisableDebugger，程序会判断KdDebuggerEnabled的值是否为1，为1的话就不停的调用KdDisableDebugger........,所以只修改KdDisableDebugger直接返回你会发现你的cpu会一直处于满负荷状态，好吧，那我修改下这个地方的判断，jne改为je，现在好了，不会再死循环了。想一想，游戏保护应该还可能有其他的地方调用了KdDisableDebugger，所以先不取消KdDisableDebugger的断点，继续执行，果然，又断下来了，执行两步，回到调用函数，如下：
ee1a6112a16c6b1beemoveax,dwordptrds:0023:ee1b6b6c=862204e8
ee1a61178b402cmoveax,dwordptr
ee1a611a3305686b1beexoreax,dwordptr
ee1a61207404jeTesSafe+0x7126(ee1a6126)
ee1a6122ffd0calleax
ee1a6124eb24jmpTesSafe+0x714a(ee1a614a)
ee1a6126803d72221bee00cmpbyteptr,0
ee1a612d751bjneTesSafe+0x714a(ee1a614a)
ee1a612f6882010000push182h
ee1a613468e64d6e43push436E4DE6h
ee1a61396873426e57push576E4273h
ee1a613ee849c9ffffcallTesSafe+0x3a8c(ee1a2a8c)
ee1a6143c60572221bee01movbyteptr,1
ee1a614a8b0d64221beemovecx,dwordptr
ee1a615085c9testecx,ecx
ee1a6152740fjeTesSafe+0x7163(ee1a6163)
ee1a6154a168221beemoveax,dwordptr
ee1a615985c0testeax,eax
ee1a615b7406jeTesSafe+0x7163(ee1a6163)
ee1a615d3901cmpdwordptr,eax
ee1a615f7402jeTesSafe+0x7163(ee1a6163)
ee1a61618901movdwordptr,eax
ee1a6163c3ret
当前指令位于ee1a6124处，往下继续执行
在windbg的反汇编窗口，我们会看到出现一些符号提示，如下
ee1a614a8b0d64221beemovecx,dwordptrds:0023:ee1b2264={nt!KiDebugRoutine(80554004)}
运行到ee1a614a，出现了KiDebugRoutine，猜测这里应该是强行将KiDebugRoutine设为了KdpStub，往下执行，在ee1a6161处
ee1a61618901movdwordptr,eaxds:0023:80554004={nt!KdpTrap(80662706)}
这里显示的符号为ecx当前所有，而这条指令是吧eax的值付给ecx地址处，
kd>reax
eax=804f7c86
看到eax为804f7c86
kd>uKdpStub
nt!KdpStub:
804f7c868bffmovedi,edi
看到KdpStub的地址为804f7c86
得到结论，ee1a6161处将KdpStub赋值给了KiDebugRoutine，而KiDebugRoutine必须保持为KdpTrap，那么简单了，nop掉这句(建议不要采用nop的方式，因为搞不好以后就会内存校验这里，这里另外一种比较稳妥的方法是更改kdpStub头部，让其直接jmp到KdpTrap)，继续执行。
又在KdDisableDebugger断下了，回到上层函数，发现还是之前那个函数，无视之，继续执行，
在连续断下N次后，每次都是这个函数，那么基本上也就确认只有两个地方调用了。去掉KdDisableDebugger的断点，继续执行。
游戏跑起来后，现在在breakwindbg，发现windbg又可以断下了。
搞定收工。
总结下步骤,
1.修改KdDisableDebugger为直接返回即在windbg执行ewKdDisableDebugger0xc390
2.修改驱动保护第一个调用KdDisableDebugger的函数，让其通过检查KdDebuggerEnabled，防止死循环，在windbg执行ebTesSafe+0x703174
3.修改驱动保护第二个调用KdDisableDebugger的函数，让其不要修改KiDebugRoutine的值，在windbg输入ewTesSafe+71619090
页:
[1]