看流星社区

 找回密码
 注册账号
查看: 2645|回复: 0

一种无差别的anti-anti双机调试的方法

[复制链接]

该用户从未签到

发表于 2013-8-9 17:32:36 | 显示全部楼层 |阅读模式
一种无差别的抗-反双击调试的方法,原创不原创不敢说,也许还有很多人也想到过这种方法
无差别,意思是不针对某.sys,完全只需要修改自己的内核即可实现的。。

思路如下,
Hook KdpStub 到一个我们的函数,暂名 beforeKdpTrap

beforeKdpTrap要做的事情如下

__declspec(naked) beforeKdpTrap() {
  __asm {
    pushad
    mov eax, KdDebuggerEnabled
    mov byte ptr [eax],0x1
    popad
    jmp KdpTrap
  }
}

这样做的好处是可以避免通过检测 KiDebugRoutine 来发现调试。

理论上,就算 KdpStub 被校验了,也可以在它的内部找另外一个跳板。

下面是一份win7 32bit 下,针对 Txxsafe.sys 所做的处理。

代码:
  1. #include <ntddk.h>
  2. //#include "..\1.h"
  3. DRIVER_INITIALIZE DriverEntry;
  4. DRIVER_UNLOAD nUnload;

  5. KIRQL Irql;
  6. PVOID uTesSafeIBase;

  7. PVOID KdpStub;
  8. PVOID KdpTrap;
  9. PVOID KiDebugRoutine;
  10. PVOID KdpSuspendAllBreakpoints;
  11. PVOID KdDisableDebuggerWithLock;

  12. PVOID GetSysRoutineAddress (IN PCWSTR funcName) {
  13.   UNICODE_STRING us_fn;
  14.   RtlInitUnicodeString(&us_fn,funcName);
  15.   return MmGetSystemRoutineAddress(&us_fn);
  16. }

  17. VOID WPOFF() {
  18.   __asm {
  19.     cli
  20.     mov eax,cr0
  21.     and eax,not 10000h
  22.     mov cr0,eax
  23.   }
  24. }

  25. VOID WPON() {
  26.   __asm {
  27.     mov eax,cr0
  28.     or eax,10000h
  29.     mov cr0,eax
  30.     sti
  31.   }
  32. }

  33. __declspec(naked) beforeKdpTrap() {
  34.   __asm {
  35.     pushad
  36.     mov eax, KdDebuggerEnabled
  37.     mov byte ptr [eax],0x1
  38.     popad
  39.     jmp KdpTrap
  40.   }
  41. }

  42. __declspec(naked) nkKdDisableDebuggerWithLock() {
  43.   __asm {
  44.     pushad
  45.     mov eax, KdDebuggerEnabled
  46.     mov byte ptr [eax],0x0
  47.     popad
  48.     mov edi,edi
  49.     push ebp
  50.     mov ebp,esp
  51.     push ecx
  52.     push KdDisableDebuggerWithLock
  53.     add dword ptr [esp],0x6
  54.     retn
  55.   }
  56. }

  57. VOID LoadImageNotifyRoutine( __in_opt PUNICODE_STRING FullImageName, __in HANDLE ProcessId, __in PIMAGE_INFO  ImageInfo ) {
  58.   if (wcsstr(FullImageName->Buffer, L"TesSafe.sys") && wcsstr(FullImageName->Buffer, L":") ) {
  59.     uTesSafeIBase=ImageInfo->ImageBase;
  60.     __asm {
  61.       int 3
  62.     }
  63.   }
  64. }

  65. VOID initialize() {

  66.   PVOID *p1;
  67.   PVOID f1;

  68.   p1 = (ULONG)KdEnableDebugger+3;
  69.   f1 = (ULONG)KdEnableDebugger+7+(ULONG)*p1;

  70.   p1 = (ULONG)f1+0x7b;
  71.   f1 = (ULONG)f1+0x7f+(ULONG)*p1;//KdInitSystem

  72.   p1 = (ULONG)f1+0x4c;
  73.   KiDebugRoutine=(ULONG)*p1;

  74.   p1 = (ULONG)f1+0x50;
  75.   KdpStub=(ULONG)*p1;

  76.   p1 = (ULONG)f1+0x2ce;
  77.   KdpTrap=(ULONG)*p1;


  78.   p1 = (ULONG)KdDisableDebugger+3;
  79.   f1 = (ULONG)KdDisableDebugger+7+(ULONG)*p1;//KdDisableDebuggerWithLock
  80.   KdDisableDebuggerWithLock = f1;
  81.   p1 = (ULONG)f1+0x97;
  82.   KdpSuspendAllBreakpoints = (ULONG)f1+0x9b+(ULONG)*p1;//KdpSuspendAllBreakpoints


  83.   WPOFF();
  84.   Irql=KeRaiseIrqlToDpcLevel();
  85.   __asm {
  86.     pushad

  87.     mov eax, KdpSuspendAllBreakpoints
  88.     mov byte ptr [eax], 0xc3

  89.     mov eax, KdpStub
  90.     mov byte ptr [eax], 0x68
  91.     mov ebx, beforeKdpTrap
  92.     mov dword ptr [eax+0x01], ebx
  93.     mov byte ptr [eax+0x05], 0xC3

  94.     mov eax, KdDisableDebuggerWithLock
  95.     mov byte ptr [eax], 0x68
  96.     mov ebx, nkKdDisableDebuggerWithLock
  97.     mov dword ptr [eax+0x01], ebx
  98.     mov byte ptr [eax+0x05], 0xC3

  99.     popad
  100.   }
  101.   KeLowerIrql(Irql);
  102.   WPON();

  103.   PsSetLoadImageNotifyRoutine(LoadImageNotifyRoutine);
  104. }

  105. VOID nUnload(__in struct _DRIVER_OBJECT *DriverObject) {
  106.   PsRemoveLoadImageNotifyRoutine(LoadImageNotifyRoutine);
  107.   WPOFF();
  108.   Irql=KeRaiseIrqlToDpcLevel();
  109.   __asm {
  110.     pushad
  111.     mov eax, KdpStub
  112.     mov byte ptr [eax], 0x8b
  113.     mov byte ptr [eax+0x01], 0xff
  114.     mov byte ptr [eax+0x02], 0x55
  115.     mov byte ptr [eax+0x03], 0x8b
  116.     mov byte ptr [eax+0x04], 0xec
  117.     mov byte ptr [eax+0x05], 0x53

  118.     mov eax, KdDisableDebuggerWithLock
  119.     mov byte ptr [eax], 0x8b
  120.     mov byte ptr [eax+0x01], 0xff
  121.     mov byte ptr [eax+0x02], 0x55
  122.     mov byte ptr [eax+0x03], 0x8b
  123.     mov byte ptr [eax+0x04], 0xec
  124.     mov byte ptr [eax+0x05], 0x51
  125.     popad
  126.   }
  127.   KeLowerIrql(Irql);
  128.   WPON();
  129. }

  130. NTSTATUS DriverEntry (__in struct _DRIVER_OBJECT *DriverObject, __in PUNICODE_STRING RegistryPath) {
  131.   initialize();
  132.   DriverObject->DriverUnload = nUnload;
  133.   return STATUS_SUCCESS;
  134. }
复制代码
最后我就说一句,本人所分析的内容完全属于本人自己电脑上cpu、内存中的内容,没有修改任何第三方程序本身的代码()。。。以上提到的某Txxsafe.sys仅用来运行测试。
点击按钮快速添加回复内容: 支持 高兴 激动 给力 加油 苦寻 生气 回帖 路过 感恩
您需要登录后才可以回帖 登录 | 注册账号

本版积分规则

小黑屋|手机版|Archiver|看流星社区 |网站地图

GMT+8, 2024-3-29 20:17

Powered by Kanliuxing X3.4

© 2010-2019 kanliuxing.com

快速回复 返回顶部 返回列表