标 题: 关于过某P的双机联调
作 者: upupc
时 间: 2013-03-05,18:20:57
链 接: http://bbs.pediy.com/showthread.php?t=163630
最近公司没啥事做，闲的蛋疼，于是来研究下怎么过某游戏驱动保护的双机联调。
调试环境: win7 + windbg + VirtualKD ＋vmware(虚拟机装的XP SP3)
xp内核：ntkrnlpa.exe
理论知识准备：windbg双机联调的配置和内核调式器原理，这方面谷歌上大把资料，自己找吧。
我们都知道，在虚拟机上运行有驱动保护的游戏后，windbg就会没办法下断了，准确点说是windbg不会再收到目标机的任何数据，所以这时候外在现象就是windbg虽然仍然显示连接中，但是所有的功能都用不了。
要解决这个问题，我们首先要换位思考，如果是你，你怎么实现这个功能，最简单的方法当然是调用内核现成的API来实现禁用调试这个功能，于是查找内核API，发现有个KdDisableDebugger函数，从名字看就知道是干啥的了。
先在windbg查看函数具体实现，如下：
804f779c 8bff mov edi,edi
804f779e 55 push ebp
804f779f 8bec mov ebp,esp
804f77a1 51 push ecx
804f77a2 b102 mov cl,2
804f77a4 ff15f4864d80 call dword ptr [nt!_imp_KfRaiseIrql (804d86f4)]
804f77aa 8845ff mov byte ptr [ebp-1],al
804f77ad e81c010000 call nt!KdpPortLock (804f78ce)
804f77b2 833dc8d5548000 cmp dword ptr [nt!KdDisableCount (8054d5c8)],0
804f77b9 753a jne nt!KdDisableDebugger+0x59 (804f77f5)
nt!KdDisableDebugger+0x1f:
804f77bb a0c1d55480 mov al,byte ptr [nt!KdDebuggerEnabled (8054d5c1)]
804f77c0 84c0 test al,al
804f77c2 7410 je nt!KdDisableDebugger+0x38 (804f77d4)
nt!KdDisableDebugger+0x28:
804f77c4 803dfc6f548000 cmp byte ptr [nt!KdPitchDebugger (80546ffc)],0
804f77cb c605ccd5548001 mov byte ptr [nt!KdPreviouslyEnabled (8054d5cc)],1
804f77d2 7407 je nt!KdDisableDebugger+0x3f (804f77db)
nt!KdDisableDebugger+0x38:
804f77d4 c605ccd5548000 mov byte ptr [nt!KdPreviouslyEnabled (8054d5cc)],0
nt!KdDisableDebugger+0x3f:
804f77db 84c0 test al,al
804f77dd 7416 je nt!KdDisableDebugger+0x59 (804f77f5)
nt!KdDisableDebugger+0x43:
804f77df e8baa31600 call nt!KdpSuspendAllBreakpoints (80661b9e)
804f77e4 c70504405580867c4f80 mov dword ptr [nt!KiDebugRoutine (80554004)],offset nt!KdpStub (804f7c86)
804f77ee c605c1d5548000 mov byte ptr [nt!KdDebuggerEnabled (8054d5c1)],0
nt!KdDisableDebugger+0x59:
804f77f5 ff05c8d55480 inc dword ptr [nt!KdDisableCount (8054d5c8)]
804f77fb e8de000000 call nt!KdpPortUnlock (804f78de)
804f7800 8a4dff mov cl,byte ptr [ebp-1]
804f7803 ff151c874d80 call dword ptr [nt!_imp_KfLowerIrql (804d871c)]
804f7809 c9 leave
804f780a c3 ret
发现在nt!KdDisableDebugger+0x43处，是API真正起作用的地方
首先call nt!KdpSuspendAllBreakpoints挂起所有的断点，执行完这个call，windbg会从断开状态变为运行状态
然后nt!KiDebugRoutine变量设为nt!KdpStub
最后nt!KdDebuggerEnabled 变量设为0，也就是false
这三条指令执行后，windbg也就无法再继续调试了
这里需要注意KiDebugRoutine，这是一个函数变量，内核调试绝大部分工作都是调用该变量所指向的函数来实现的，那么这里将它赋值为KdpStub是什么意思呢?
原来在内核中，有两个API实现了内核调试的功能，KdpStub和KdpTrap，这两个函数有什么区别呢？KdpStub是在非调试情况下使用的API，也就是说在非调式情况下KiDebugRoutine应该是指向KdpStub的，而KdpStub基本上没做什么调试的事情，而所有和调试相关的工作则都放到了KdpTrap里，所以，要想保持windbg可以使用，则要保证KiDebugRoutine是指向KdpTrap的。
分析完毕，那么要现在看游戏保护是否真的调用了KdDisableDebugger。
在KdDisableDebugger开头下断点，启动游戏。
windbg断下来了，看来是真的调用了这个函数，那么现在我们要让这个函数失去作用。
windbg输入ew KdDisableDebugger 0xc390, 意思是修改KdDisableDebugger头两个字节，变为：
kd> u KdDisableDebugger
nt!KdDisableDebugger:
804f779c 90 nop
804f779d c3 ret
现在KdDisableDebugger会直接返回，不在起作用。
当然，事情远没有这么简单，取消断点继续执行后，会发现windbg还是没办法用。
看来游戏保护在调用KdDisableDebugger后还做了其他的事情。
一切重来，重启虚拟机XP，修改KdDisableDebugger为直接返回，下断KdDisableDebugger。
运行游戏，断下来后，单步执行两次，返回到上一层函数，整个函数如下
ee1a5fca a16c6b1bee mov eax,dword ptr [TesSafe+0x17b6c (ee1b6b6c)]
ee1a5fcf 8b0d686b1bee mov ecx,dword ptr [TesSafe+0x17b68 (ee1b6b68)]
ee1a5fd5 56 push esi
ee1a5fd6 8b7028 mov esi,dword ptr [eax+28h]
ee1a5fd9 57 push edi
ee1a5fda 8b782c mov edi,dword ptr [eax+2Ch]
ee1a5fdd 33f1 xor esi,ecx
ee1a5fdf 33f9 xor edi,ecx
ee1a5fe1 eb4b jmp TesSafe+0x702e (ee1a602e)
ee1a5fe3 803d6d221bee00 cmp byte ptr [TesSafe+0x1326d (ee1b226d)],0
ee1a5fea 7516 jne TesSafe+0x7002 (ee1a6002)
ee1a5fec 688a4d6e43 push 436E4D8Ah
ee1a5ff1 6876426e57 push 576E4276h
ee1a5ff6 e873caffff call TesSafe+0x3a6e (ee1a2a6e)
ee1a5ffb c6056d221bee01 mov byte ptr [TesSafe+0x1326d (ee1b226d)],1
ee1a6002 85ff test edi,edi
ee1a6004 7404 je TesSafe+0x700a (ee1a600a)
ee1a6006 ffd7 call edi
ee1a6008 eb24 jmp TesSafe+0x702e (ee1a602e)
ee1a600a 803d6e221bee00 cmp byte ptr [TesSafe+0x1326e (ee1b226e)],0
ee1a6011 751b jne TesSafe+0x702e (ee1a602e)
ee1a6013 6812010000 push 112h
ee1a6018 68e64d6e43 push 436E4DE6h
ee1a601d 6873426e57 push 576E4273h
ee1a6022 e865caffff call TesSafe+0x3a8c (ee1a2a8c)
ee1a6027 c6056e221bee01 mov byte ptr [TesSafe+0x1326e (ee1b226e)],1
ee1a602e 803e00 cmp byte ptr [esi],0
ee1a6031 75b0 jne TesSafe+0x6fe3 (ee1a5fe3)
ee1a6033 5f pop edi
ee1a6034 5e pop esi
ee1a6035 c3 ret
上图红色部分为当前CPU要执行的指令，继续往下执行，会发现ee1a6031处会直接跳转会该函数前面，分析它的跳转条件，cmp byte ptr [esi],0，执行到这里时，查看下esi的值，发现为8054d5c1，回想下KdDisableDebugger函数实现，里面有个变量KdDebuggerEnabled的地址也为8054d5c1，也就是说在调用了KdDisableDebugger，程序会判断KdDebuggerEnabled的值是否为1，为1的话就不停的调用KdDisableDebugger........, 所以只修改KdDisableDebugger直接返回你会发现你的cpu会一直处于满负荷状态，好吧，那我修改下这个地方的判断，jne改为je，现在好了，不会再死循环了。想一想，游戏保护应该还可能有其他的地方调用了KdDisableDebugger，所以先不取消KdDisableDebugger的断点，继续执行，果然，又断下来了，执行两步，回到调用函数，如下：
ee1a6112 a16c6b1bee mov eax,dword ptr [TesSafe+0x17b6c (ee1b6b6c)] ds:0023:ee1b6b6c=862204e8
ee1a6117 8b402c mov eax,dword ptr [eax+2Ch]
ee1a611a 3305686b1bee xor eax,dword ptr [TesSafe+0x17b68 (ee1b6b68)]
ee1a6120 7404 je TesSafe+0x7126 (ee1a6126)
ee1a6122 ffd0 call eax
ee1a6124 eb24 jmp TesSafe+0x714a (ee1a614a)
ee1a6126 803d72221bee00 cmp byte ptr [TesSafe+0x13272 (ee1b2272)],0
ee1a612d 751b jne TesSafe+0x714a (ee1a614a)
ee1a612f 6882010000 push 182h
ee1a6134 68e64d6e43 push 436E4DE6h
ee1a6139 6873426e57 push 576E4273h
ee1a613e e849c9ffff call TesSafe+0x3a8c (ee1a2a8c)
ee1a6143 c60572221bee01 mov byte ptr [TesSafe+0x13272 (ee1b2272)],1
ee1a614a 8b0d64221bee mov ecx,dword ptr [TesSafe+0x13264 (ee1b2264)]
ee1a6150 85c9 test ecx,ecx
ee1a6152 740f je TesSafe+0x7163 (ee1a6163)
ee1a6154 a168221bee mov eax,dword ptr [TesSafe+0x13268 (ee1b2268)]
ee1a6159 85c0 test eax,eax
ee1a615b 7406 je TesSafe+0x7163 (ee1a6163)
ee1a615d 3901 cmp dword ptr [ecx],eax
ee1a615f 7402 je TesSafe+0x7163 (ee1a6163)
ee1a6161 8901 mov dword ptr [ecx],eax
ee1a6163 c3 ret
当前指令位于ee1a6124处，往下继续执行
在windbg的反汇编窗口，我们会看到出现一些符号提示，如下
ee1a614a 8b0d64221bee mov ecx,dword ptr [TesSafe+0x13264 (ee1b2264)] ds:0023:ee1b2264={nt!KiDebugRoutine (80554004)}
运行到ee1a614a ，出现了KiDebugRoutine，猜测这里应该是强行将KiDebugRoutine设为了KdpStub，往下执行，在ee1a6161处
ee1a6161 8901 mov dword ptr [ecx],eax ds:0023:80554004={nt!KdpTrap (80662706)}
这里显示的符号为ecx当前所有，而这条指令是吧eax的值付给ecx地址处，
kd> r eax
eax=804f7c86
看到eax为804f7c86
kd> u KdpStub
nt!KdpStub:
804f7c86 8bff mov edi,edi
看到KdpStub的地址为804f7c86
得到结论，ee1a6161处将KdpStub赋值给了KiDebugRoutine，而KiDebugRoutine必须保持为KdpTrap ，那么简单了，nop掉这句(建议不要采用nop的方式，因为搞不好以后就会内存校验这里，这里另外一种比较稳妥的方法是更改kdpStub头部，让其直接jmp到KdpTrap )，继续执行。
又在KdDisableDebugger断下了，回到上层函数，发现还是之前那个函数，无视之，继续执行，
在连续断下N次后，每次都是这个函数，那么基本上也就确认只有两个地方调用了。去掉KdDisableDebugger的断点，继续执行。
游戏跑起来后，现在在break windbg，发现windbg又可以断下了。
搞定收工。
总结下步骤,
1.修改KdDisableDebugger为直接返回即在windbg执行 ew KdDisableDebugger 0xc390
2.修改驱动保护第一个调用KdDisableDebugger的函数，让其通过检查KdDebuggerEnabled，防止死循环，在windbg执行eb TesSafe+0x7031 74
3.修改驱动保护第二个调用KdDisableDebugger的函数，让其不要修改KiDebugRoutine的值，在windbg输入ew TesSafe+7161 9090
作 者: upupc
时 间: 2013-03-05,18:20:57
链 接: http://bbs.pediy.com/showthread.php?t=163630
最近公司没啥事做，闲的蛋疼，于是来研究下怎么过某游戏驱动保护的双机联调。
调试环境: win7 + windbg + VirtualKD ＋vmware(虚拟机装的XP SP3)
xp内核：ntkrnlpa.exe
理论知识准备：windbg双机联调的配置和内核调式器原理，这方面谷歌上大把资料，自己找吧。
我们都知道，在虚拟机上运行有驱动保护的游戏后，windbg就会没办法下断了，准确点说是windbg不会再收到目标机的任何数据，所以这时候外在现象就是windbg虽然仍然显示连接中，但是所有的功能都用不了。
要解决这个问题，我们首先要换位思考，如果是你，你怎么实现这个功能，最简单的方法当然是调用内核现成的API来实现禁用调试这个功能，于是查找内核API，发现有个KdDisableDebugger函数，从名字看就知道是干啥的了。
先在windbg查看函数具体实现，如下：
804f779c 8bff mov edi,edi
804f779e 55 push ebp
804f779f 8bec mov ebp,esp
804f77a1 51 push ecx
804f77a2 b102 mov cl,2
804f77a4 ff15f4864d80 call dword ptr [nt!_imp_KfRaiseIrql (804d86f4)]
804f77aa 8845ff mov byte ptr [ebp-1],al
804f77ad e81c010000 call nt!KdpPortLock (804f78ce)
804f77b2 833dc8d5548000 cmp dword ptr [nt!KdDisableCount (8054d5c8)],0
804f77b9 753a jne nt!KdDisableDebugger+0x59 (804f77f5)
nt!KdDisableDebugger+0x1f:
804f77bb a0c1d55480 mov al,byte ptr [nt!KdDebuggerEnabled (8054d5c1)]
804f77c0 84c0 test al,al
804f77c2 7410 je nt!KdDisableDebugger+0x38 (804f77d4)
nt!KdDisableDebugger+0x28:
804f77c4 803dfc6f548000 cmp byte ptr [nt!KdPitchDebugger (80546ffc)],0
804f77cb c605ccd5548001 mov byte ptr [nt!KdPreviouslyEnabled (8054d5cc)],1
804f77d2 7407 je nt!KdDisableDebugger+0x3f (804f77db)
nt!KdDisableDebugger+0x38:
804f77d4 c605ccd5548000 mov byte ptr [nt!KdPreviouslyEnabled (8054d5cc)],0
nt!KdDisableDebugger+0x3f:
804f77db 84c0 test al,al
804f77dd 7416 je nt!KdDisableDebugger+0x59 (804f77f5)
nt!KdDisableDebugger+0x43:
804f77df e8baa31600 call nt!KdpSuspendAllBreakpoints (80661b9e)
804f77e4 c70504405580867c4f80 mov dword ptr [nt!KiDebugRoutine (80554004)],offset nt!KdpStub (804f7c86)
804f77ee c605c1d5548000 mov byte ptr [nt!KdDebuggerEnabled (8054d5c1)],0
nt!KdDisableDebugger+0x59:
804f77f5 ff05c8d55480 inc dword ptr [nt!KdDisableCount (8054d5c8)]
804f77fb e8de000000 call nt!KdpPortUnlock (804f78de)
804f7800 8a4dff mov cl,byte ptr [ebp-1]
804f7803 ff151c874d80 call dword ptr [nt!_imp_KfLowerIrql (804d871c)]
804f7809 c9 leave
804f780a c3 ret
发现在nt!KdDisableDebugger+0x43处，是API真正起作用的地方
首先call nt!KdpSuspendAllBreakpoints挂起所有的断点，执行完这个call，windbg会从断开状态变为运行状态
然后nt!KiDebugRoutine变量设为nt!KdpStub
最后nt!KdDebuggerEnabled 变量设为0，也就是false
这三条指令执行后，windbg也就无法再继续调试了
这里需要注意KiDebugRoutine，这是一个函数变量，内核调试绝大部分工作都是调用该变量所指向的函数来实现的，那么这里将它赋值为KdpStub是什么意思呢?
原来在内核中，有两个API实现了内核调试的功能，KdpStub和KdpTrap，这两个函数有什么区别呢？KdpStub是在非调试情况下使用的API，也就是说在非调式情况下KiDebugRoutine应该是指向KdpStub的，而KdpStub基本上没做什么调试的事情，而所有和调试相关的工作则都放到了KdpTrap里，所以，要想保持windbg可以使用，则要保证KiDebugRoutine是指向KdpTrap的。
分析完毕，那么要现在看游戏保护是否真的调用了KdDisableDebugger。
在KdDisableDebugger开头下断点，启动游戏。
windbg断下来了，看来是真的调用了这个函数，那么现在我们要让这个函数失去作用。
windbg输入ew KdDisableDebugger 0xc390, 意思是修改KdDisableDebugger头两个字节，变为：
kd> u KdDisableDebugger
nt!KdDisableDebugger:
804f779c 90 nop
804f779d c3 ret
现在KdDisableDebugger会直接返回，不在起作用。
当然，事情远没有这么简单，取消断点继续执行后，会发现windbg还是没办法用。
看来游戏保护在调用KdDisableDebugger后还做了其他的事情。
一切重来，重启虚拟机XP，修改KdDisableDebugger为直接返回，下断KdDisableDebugger。
运行游戏，断下来后，单步执行两次，返回到上一层函数，整个函数如下
ee1a5fca a16c6b1bee mov eax,dword ptr [TesSafe+0x17b6c (ee1b6b6c)]
ee1a5fcf 8b0d686b1bee mov ecx,dword ptr [TesSafe+0x17b68 (ee1b6b68)]
ee1a5fd5 56 push esi
ee1a5fd6 8b7028 mov esi,dword ptr [eax+28h]
ee1a5fd9 57 push edi
ee1a5fda 8b782c mov edi,dword ptr [eax+2Ch]
ee1a5fdd 33f1 xor esi,ecx
ee1a5fdf 33f9 xor edi,ecx
ee1a5fe1 eb4b jmp TesSafe+0x702e (ee1a602e)
ee1a5fe3 803d6d221bee00 cmp byte ptr [TesSafe+0x1326d (ee1b226d)],0
ee1a5fea 7516 jne TesSafe+0x7002 (ee1a6002)
ee1a5fec 688a4d6e43 push 436E4D8Ah
ee1a5ff1 6876426e57 push 576E4276h
ee1a5ff6 e873caffff call TesSafe+0x3a6e (ee1a2a6e)
ee1a5ffb c6056d221bee01 mov byte ptr [TesSafe+0x1326d (ee1b226d)],1
ee1a6002 85ff test edi,edi
ee1a6004 7404 je TesSafe+0x700a (ee1a600a)
ee1a6006 ffd7 call edi
ee1a6008 eb24 jmp TesSafe+0x702e (ee1a602e)
ee1a600a 803d6e221bee00 cmp byte ptr [TesSafe+0x1326e (ee1b226e)],0
ee1a6011 751b jne TesSafe+0x702e (ee1a602e)
ee1a6013 6812010000 push 112h
ee1a6018 68e64d6e43 push 436E4DE6h
ee1a601d 6873426e57 push 576E4273h
ee1a6022 e865caffff call TesSafe+0x3a8c (ee1a2a8c)
ee1a6027 c6056e221bee01 mov byte ptr [TesSafe+0x1326e (ee1b226e)],1
ee1a602e 803e00 cmp byte ptr [esi],0
ee1a6031 75b0 jne TesSafe+0x6fe3 (ee1a5fe3)
ee1a6033 5f pop edi
ee1a6034 5e pop esi
ee1a6035 c3 ret
上图红色部分为当前CPU要执行的指令，继续往下执行，会发现ee1a6031处会直接跳转会该函数前面，分析它的跳转条件，cmp byte ptr [esi],0，执行到这里时，查看下esi的值，发现为8054d5c1，回想下KdDisableDebugger函数实现，里面有个变量KdDebuggerEnabled的地址也为8054d5c1，也就是说在调用了KdDisableDebugger，程序会判断KdDebuggerEnabled的值是否为1，为1的话就不停的调用KdDisableDebugger........, 所以只修改KdDisableDebugger直接返回你会发现你的cpu会一直处于满负荷状态，好吧，那我修改下这个地方的判断，jne改为je，现在好了，不会再死循环了。想一想，游戏保护应该还可能有其他的地方调用了KdDisableDebugger，所以先不取消KdDisableDebugger的断点，继续执行，果然，又断下来了，执行两步，回到调用函数，如下：
ee1a6112 a16c6b1bee mov eax,dword ptr [TesSafe+0x17b6c (ee1b6b6c)] ds:0023:ee1b6b6c=862204e8
ee1a6117 8b402c mov eax,dword ptr [eax+2Ch]
ee1a611a 3305686b1bee xor eax,dword ptr [TesSafe+0x17b68 (ee1b6b68)]
ee1a6120 7404 je TesSafe+0x7126 (ee1a6126)
ee1a6122 ffd0 call eax
ee1a6124 eb24 jmp TesSafe+0x714a (ee1a614a)
ee1a6126 803d72221bee00 cmp byte ptr [TesSafe+0x13272 (ee1b2272)],0
ee1a612d 751b jne TesSafe+0x714a (ee1a614a)
ee1a612f 6882010000 push 182h
ee1a6134 68e64d6e43 push 436E4DE6h
ee1a6139 6873426e57 push 576E4273h
ee1a613e e849c9ffff call TesSafe+0x3a8c (ee1a2a8c)
ee1a6143 c60572221bee01 mov byte ptr [TesSafe+0x13272 (ee1b2272)],1
ee1a614a 8b0d64221bee mov ecx,dword ptr [TesSafe+0x13264 (ee1b2264)]
ee1a6150 85c9 test ecx,ecx
ee1a6152 740f je TesSafe+0x7163 (ee1a6163)
ee1a6154 a168221bee mov eax,dword ptr [TesSafe+0x13268 (ee1b2268)]
ee1a6159 85c0 test eax,eax
ee1a615b 7406 je TesSafe+0x7163 (ee1a6163)
ee1a615d 3901 cmp dword ptr [ecx],eax
ee1a615f 7402 je TesSafe+0x7163 (ee1a6163)
ee1a6161 8901 mov dword ptr [ecx],eax
ee1a6163 c3 ret
当前指令位于ee1a6124处，往下继续执行
在windbg的反汇编窗口，我们会看到出现一些符号提示，如下
ee1a614a 8b0d64221bee mov ecx,dword ptr [TesSafe+0x13264 (ee1b2264)] ds:0023:ee1b2264={nt!KiDebugRoutine (80554004)}
运行到ee1a614a ，出现了KiDebugRoutine，猜测这里应该是强行将KiDebugRoutine设为了KdpStub，往下执行，在ee1a6161处
ee1a6161 8901 mov dword ptr [ecx],eax ds:0023:80554004={nt!KdpTrap (80662706)}
这里显示的符号为ecx当前所有，而这条指令是吧eax的值付给ecx地址处，
kd> r eax
eax=804f7c86
看到eax为804f7c86
kd> u KdpStub
nt!KdpStub:
804f7c86 8bff mov edi,edi
看到KdpStub的地址为804f7c86
得到结论，ee1a6161处将KdpStub赋值给了KiDebugRoutine，而KiDebugRoutine必须保持为KdpTrap ，那么简单了，nop掉这句(建议不要采用nop的方式，因为搞不好以后就会内存校验这里，这里另外一种比较稳妥的方法是更改kdpStub头部，让其直接jmp到KdpTrap )，继续执行。
又在KdDisableDebugger断下了，回到上层函数，发现还是之前那个函数，无视之，继续执行，
在连续断下N次后，每次都是这个函数，那么基本上也就确认只有两个地方调用了。去掉KdDisableDebugger的断点，继续执行。
游戏跑起来后，现在在break windbg，发现windbg又可以断下了。
搞定收工。
总结下步骤,
1.修改KdDisableDebugger为直接返回即在windbg执行 ew KdDisableDebugger 0xc390
2.修改驱动保护第一个调用KdDisableDebugger的函数，让其通过检查KdDebuggerEnabled，防止死循环，在windbg执行eb TesSafe+0x7031 74
3.修改驱动保护第二个调用KdDisableDebugger的函数，让其不要修改KiDebugRoutine的值，在windbg输入ew TesSafe+7161 9090
扫一扫
2267
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
