Hide your DebugPort in ring0

最新推荐文章于 2023-11-13 10:24:13 发布
最新推荐文章于 2023-11-13 10:24:13 发布
阅读量599 收藏
点赞数
分类专栏： windows 内核 文章标签： xp thread hook null

标 题: 【原创】Hide your DebugPort in ring0
作 者: wowelf
时 间: 2009-01-26,11:00
链 接: http://bbs.pediy.com/showthread.php?t=80971

一个程序被ring3调试器调试时，有很多的调试特征可以检测，本论坛也有专门的帖子详细论述，但有个非常根本的标志ring3也是可以检测的比较少人提及，那就是_EPROCESS.DebugPort。DebugPort对于ring3调试器来说非常重要，没有它正常的ring3调试是无法进行的。当然要检测这个标志的前提是程序能够读取ring0内存，在XP以上的系统有个非常简单的方法就是使用ZwSystemDebugControl的SysDbgReadVirtualMemory方法，我们也可以map physicalmemory来操作。检测DebugPort之前首先要得到进程的eprocess地址，这可以通过ZwQuerySystemInformation的SystemHandleInformation方法得到，也可以直接搜索ring0内存的eprocess结构。

   对于ring3直接检测DebugPort，我们可以通过禁止该进程访问ring0内存来对付，但是目标一旦使用驱动来检测，那么就非常麻烦了。下面介绍一种隐藏_EPROCESS.DebugPort的方法，这种方法的基本思路是，将一个正常被调试进程的DebugPort置零后，修正所有受影响的函数，使我们的调试器能够正常进行。这些函数如下：
    PspCreateProcess、MmCreatePeb 进程创建，设置DebugPort
    DbgkCreateThread 发送线程或者进程创建的调试信息
    KiDispatchException、DbgkForwardException和DbgkpQueueMessage 发送异常调试信息
    PspExitThread、DbgkExitThread和DbgkExitProcess 发送线程退出、进程退出的调试信息
    DbgkMapViewOfSection和DbgkUnMapViewOfSection 发送映像装载卸载调试信息
    DbgkpSetProcessDebugObject和DbgkpMarkProcessPeb 当调试器附加进程时设置DebugPort   

     这类函数非常多的，如果都HOOK处理的话，那太恐怖了，这里使用一个非常简单的办法：偷龙转凤。我们看系统访问DebugPort的代码都是这样的（XP）
         8b89bc000000    mov     ecx,dword ptr [ecx+0BCh] //0BCh就是DebugPort的偏移

     我们可以把DebugPort转移到_EPROCESS的另外一个地方，比如我使用+0x070 CreateTime，它是纪录进程创建时间的，进程创建之后，在进程退出前系统不会对它进行任何修改，而且我们修改后对系统或进程没有任何影响。这样我们可以把上面的代码改成这样
         8b8970000000    mov     ecx,dword ptr [ecx+070h] //指向CreateTime，实际的DebugPort已经被移到这里
     只需要修改一个字节，非常简单。

     当然这种方法最麻烦的地方就是定位引用到DebugPort的函数（本人仅仅针对不同的XP系统制作特征码都累到吐血），这些函数都是不导出的，如果是特定系统，最简单的方法就是WinDbg->uf *** 直接找地址硬编码，只需要几分钟时间。

 

代码: 
BOOLEAN InitHackAddress()
{
  _SEH_TRY
  {
    g_KernelBase = GetKernelBaseAndSize( &g_KernelSize );      
    g_HackPspCreateProcess = SearchHackPspCreateProcess( &g_NopPspCreateProcess.Address );
    g_HackKiDispatchException = SearchKiDispatchException( g_KernelBase,g_KernelSize );  
    g_HackDbgkpQueueMessage = SearchDbgkpQueueMessage( g_KernelBase,g_KernelSize );
    g_HackDbgkCreateThread = SearchDbgkCreateThread( g_KernelBase,g_KernelSize );    
    SearchDbgkNotifyRoutine( g_KernelBase,g_KernelSize );
    g_HackPspExitThread = SearchPspExitThread();  
    g_HackMmCreatePeb = SearchMmCreatePeb( g_HackPspCreateProcess );
    SearchDbgkpSetProcessDebugObject( g_KernelBase,g_KernelSize );
    if( g_HackDbgkpSetProcessDebugObject[3] )
      g_HackDbgkpMarkProcessPeb = SearchDbgkpMarkProcessPeb( g_HackDbgkpSetProcessDebugObject[3] ) ;
    
    if( g_NopPspCreateProcess.Address != 0 ){
      RtlFillMemory( g_NopPspCreateProcess.NopCode,sizeof(g_NopPspCreateProcess.NopCode),0x90 ); 
      g_NopPspCreateProcess.Size = 9;
      RtlCopyMemory( g_NopPspCreateProcess.OrigCode,(PVOID)g_NopPspCreateProcess.Address,g_NopPspCreateProcess.Size );
    }

    if( g_NopDbgkForwardException.Address != 0 ){      
      RtlFillMemory( g_NopDbgkForwardException.NopCode,sizeof(g_NopDbgkForwardException.NopCode),0x90 );
      RtlCopyMemory( g_NopDbgkForwardException.OrigCode,(PVOID)g_NopDbgkForwardException.Address,g_NopDbgkForwardException.Size );
    }

    if( g_NopDbgkExitThread.Address != 0 ){      
      RtlFillMemory( g_NopDbgkExitThread.NopCode,sizeof(g_NopDbgkExitThread.NopCode),0x90 );
      RtlCopyMemory( g_NopDbgkExitThread.OrigCode,(PVOID)g_NopDbgkExitThread.Address,g_NopDbgkExitThread.Size );
    }

    if( g_NopDbgkExitProcess.Address != 0 ){
      RtlFillMemory( g_NopDbgkExitProcess.NopCode,sizeof(g_NopDbgkExitProcess.NopCode),0x90 );
      RtlCopyMemory( g_NopDbgkExitProcess.OrigCode,(PVOID)g_NopDbgkExitProcess.Address,g_NopDbgkExitProcess.Size );
    }

    if( g_NopDbgkMapViewOfSection.Address != 0){
      RtlFillMemory( g_NopDbgkMapViewOfSection.NopCode,sizeof(g_NopDbgkMapViewOfSection.NopCode),0x90 );
      RtlCopyMemory( g_NopDbgkMapViewOfSection.OrigCode,(PVOID)g_NopDbgkMapViewOfSection.Address,g_NopDbgkMapViewOfSection.Size );
    }

    if( g_NopDbgkUnMapViewOfSection.Address != 0 ){
      RtlFillMemory( g_NopDbgkUnMapViewOfSection.NopCode,sizeof(g_NopDbgkUnMapViewOfSection.NopCode),0x90 );
      RtlCopyMemory( g_NopDbgkUnMapViewOfSection.OrigCode,(PVOID)g_NopDbgkUnMapViewOfSection.Address,g_NopDbgkUnMapViewOfSection.Size );
    }     
    
    
  }
  _SEH_HANDLER
  {    
    DbgPrint( "InitHackAddress Exception!/n" );
  }

  return ( g_HackPspCreateProcess != 0 &&
         g_HackKiDispatchException != 0 &&
       g_HackDbgkForwardException != 0 &&
       g_HackDbgkpQueueMessage != 0 && 
       g_NopPspCreateProcess.Address != 0 &&
       g_NopDbgkForwardException.Address != 0 &&
       g_HackDbgkCreateThread != 0 &&
       g_HackDbgkExitThread != 0 &&
       g_NopDbgkExitThread.Address != 0 &&
       g_HackDbgkExitProcess != 0 &&
       g_NopDbgkExitProcess.Address != 0 &&
       g_HackDbgkMapViewOfSection != 0 &&
       g_NopDbgkMapViewOfSection.Address != 0 &&
       g_HackDbgkUnMapViewOfSection != 0 &&
       g_NopDbgkUnMapViewOfSection.Address != 0 &&
       g_HackPspExitThread != 0 &&
       g_HackMmCreatePeb != 0 &&
       g_HackDbgkpSetProcessDebugObject[0] != 0 &&
       g_HackDbgkpSetProcessDebugObject[1] != 0 &&
       g_HackDbgkpSetProcessDebugObject[2] != 0 &&
       g_HackDbgkpSetProcessDebugObject[3] != 0 &&
       g_HackDbgkpMarkProcessPeb != 0 );
}
代码: 
//修改已经运行进程的DebugPort位置
BOOLEAN ChangeProcessDebugPort( BOOLEAN Hide )
{
  ULONG eProcess = (ULONG)PsInitialSystemProcess;
  PLIST_ENTRY pListHead,pListWalk;
  ULONG DebugObject;

  if( !g_bIsAddressStartup ){
    return FALSE;
  }

  pListHead = (PLIST_ENTRY)( eProcess + ACTIVE_LINKS_OFFSET );
  pListWalk = pListHead;

  _SEH_TRY
  {    
    do{
      if( pListWalk == NULL || eProcess == 0 )
        break;

      eProcess = ( (ULONG)pListWalk - ACTIVE_LINKS_OFFSET );    

      if( Hide ){

        DebugObject = *(ULONG*)( eProcess + DEBUG_PORT_OFFSET );
        *(ULONG*)( eProcess + CREATE_TIME_OFFSET ) = DebugObject;
        *(ULONG*)( eProcess + DEBUG_PORT_OFFSET ) = 0;

      }else{

        DebugObject = *(ULONG*)( eProcess + CREATE_TIME_OFFSET );
        *(ULONG*)( eProcess + DEBUG_PORT_OFFSET ) = DebugObject;
      }

      pListWalk = pListWalk->Flink;

    }while( pListWalk != pListHead );

  }
  _SEH_HANDLER
  {
    DbgPrint( "ChangeProcessDebugPort exception!/n" );
  }
  
  return TRUE;
}
代码: 
BOOLEAN ModifyDebugFunction()
{
  if( !g_bIsAddressStartup ){
    return FALSE;
  }

  __asm{
    cli
    mov  eax,cr0
    and  eax,not 10000h
    mov  cr0,eax
  }

  *(ULONG*)g_HackPspCreateProcess = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackKiDispatchException = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkForwardException = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpQueueMessage = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkCreateThread = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkExitThread = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkExitProcess = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkMapViewOfSection = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkUnMapViewOfSection = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackPspExitThread = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpMarkProcessPeb = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackMmCreatePeb = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[0] = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[1] = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[2] = CREATE_TIME_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[3] = CREATE_TIME_OFFSET;
    

  RtlCopyMemory( (PVOID)g_NopPspCreateProcess.Address,g_NopPspCreateProcess.NopCode,g_NopPspCreateProcess.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkForwardException.Address,g_NopDbgkForwardException.NopCode,g_NopDbgkForwardException.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkExitThread.Address,g_NopDbgkExitThread.NopCode,g_NopDbgkExitThread.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkExitProcess.Address,g_NopDbgkExitProcess.NopCode,g_NopDbgkExitProcess.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkMapViewOfSection.Address,g_NopDbgkMapViewOfSection.NopCode,g_NopDbgkMapViewOfSection.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkUnMapViewOfSection.Address,g_NopDbgkUnMapViewOfSection.NopCode,g_NopDbgkUnMapViewOfSection.Size );

  __asm{
    mov  eax,cr0
    or   eax,10000h
    mov  cr0,eax
    sti
  }

  return TRUE;

}

BOOLEAN WriteBackDebugFunction()
{
  if( !g_bIsAddressStartup ){
    return FALSE;
  }

  __asm{
    cli
    mov  eax,cr0
    and  eax,not 10000h
    mov  cr0,eax
  }

  *(ULONG*)g_HackPspCreateProcess = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackKiDispatchException = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkForwardException = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpQueueMessage = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkCreateThread = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkExitThread = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkExitProcess = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkMapViewOfSection = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkUnMapViewOfSection = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackPspExitThread = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpMarkProcessPeb = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackMmCreatePeb = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[0] = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[1] = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[2] = DEBUG_PORT_OFFSET;
  *(ULONG*)g_HackDbgkpSetProcessDebugObject[3] = DEBUG_PORT_OFFSET;

  RtlCopyMemory( (PVOID)g_NopPspCreateProcess.Address,g_NopPspCreateProcess.OrigCode,g_NopPspCreateProcess.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkForwardException.Address,g_NopDbgkForwardException.OrigCode,g_NopDbgkForwardException.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkExitThread.Address,g_NopDbgkExitThread.OrigCode,g_NopDbgkExitThread.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkExitProcess.Address,g_NopDbgkExitProcess.OrigCode,g_NopDbgkExitProcess.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkMapViewOfSection.Address,g_NopDbgkMapViewOfSection.OrigCode,g_NopDbgkMapViewOfSection.Size );
  RtlCopyMemory( (PVOID)g_NopDbgkUnMapViewOfSection.Address,g_NopDbgkUnMapViewOfSection.OrigCode,g_NopDbgkUnMapViewOfSection.Size );

  __asm{
    mov  eax,cr0
    or   eax,10000h
    mov  cr0,eax
    sti
  }

  return TRUE;
}

     我想再啰嗦一下，上面代码大家看到很多函数有个NOPCode，这个实际上是对付线程PS_CROSS_THREAD_FLAGS_HIDEFROMDBG的，NOP掉相关地方后，就算线程被设置为ThreadHideFromDebugger也无法阻挡调试器接收调试信息。

msebilly
关注
专栏目录
史上最全wireshark使用教程，8万字整理总结，建议先收藏再耐心研读
孙叫兽的博客
07-14 3万+
目录 第1章介绍... 1 1.1.什么是Wireshark. 1 1.1.1.主要应用... 1 1.1.2.特性... 1 1.1.3.捕捉多种网络接口... 2 1.1.4.支持多种其它程序捕捉的文件... 2 1.1.5.支持多格式输出... 2 1.1.6.对多种协议解码提供支持... 2 1.1.7.开源软件... 2 1.1.8.Wireshark不能做的事... 2 1.2.系通需求... 2 1.2.1.一般说明... 2 ...
【m98】abseil-cpp的cmake构建
突围
11-05 365
abseil cpp
线程的创建过程
weixin_30916125的博客
07-16 548
由于这两天在研究调试机制，所以记录下被调试线程的创建过程，如果哪里有遗漏，以后会再补充 线程创建过程分为两部分： 　　　第一部分：CreateThread->NtCreateThread->PspCreateThread->KeInitThread->KiInitializeContextThread->KiThreadStartUp 　　 ...
执行体线程--ETHREAD
BpLife
12-09 2642
typedef struct _ETHREAD { KTHREAD Tcb;//内嵌了KTHREAD对象作为第一个数据成员 LARGE_INTEGER CreateTime;//包含了线程创建时间，他是在线程创建时被赋值的。 union { LARGE_INTEGER ExitTime;//包含了线程的退出时间, LIST_ENTRY L
异常派发研究KiDispatchException
ADADQDQQ的博客
10-14 1190
当系统Debug模式下: KdDebuggerEnabled1 KdPitchDebugger0 KiDebugRoutine==KdpTrap 此模式下R3触发的异常相关若没有异常处理接管,电脑直接卡死 当系统正常模式下: KdDebuggerEnabled0 KdPitchDebugger1 KiDebugRoutine==KdpStub 此模式下R3触发异常若没有异常处理接管,则程序崩溃 KdDebuggerNotPresent:启动Debug并且连接调试器0,否则1 KdEnteredDebugge
The Indispensable PC Hardware Book - rar - part1. (1/7)
09-03
solution to all your hardware questions. Even beginners should not shy away as this book begins with an easy introduction to the subject area. Key highlights: l CPU's from the 8086/8088 to the ...
红队系列-shellcode AV bypass Evasion免杀合集
最新发布
aming小老弟
11-13 1534
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。
[转]高负载并发网站架构分析
热门推荐
bluehire的专栏
12-23 2万+
由于自己正在做一个高性能大用户量的论坛程序，对高性能高并发服务器架构比较感兴趣，于是在网上收集了不少这方面的资料和大家分享。希望能和大家交流 msn: defender_ios@hotmail.com ——————————————————————————————————————— ? 初创网站与开源软件 6 ? 谈谈大型高负载网站服务器的优化心得! 8 ? Lighttpd+Squid+Apach
进程异常VEHHook源码
12-27
进程异常VEHHook源码进程异常
第9章 用户态调试模型
weixin_30680385的博客
01-04 139
采集调试信息作用:为了获取到与调试有关的系统动作,内核部分会调用子系统公开的一系列函数,让调试器得到通知和处理的机会. 这些函数以DbgK开头.(不是Dbgkp,p代表内部过程). 消息常量 代码 typedefenum_DBGKM_APINUMBER{DbgKmException=0;//异常DbgKmC...
Win32 调试接口设计与实现浅析
神经网络爱好者
04-24 1535
　　所谓调试器实际上是一个很宽泛的概念，凡是能够以某种形式监控其他程序执行过程的程序，都可以泛称为调试器。在Windows平台上，根据调试器的实现原理大概可以将之分为三类：内核态调试器、用户态调试器和伪代码调试器。    内核态调试器直接工作在操作系统内核一级，在硬件与操作系统之间针对系统核心或驱动进行调试，常见的有SoftICE、WinDbg、WDEB386和i386KD等等；用户态调试器则通过
进程防结束之PS_CROSS_THREAD_FLAGS_SYSTEM
求索
02-03 1861
有人投到黑防去了，不过黑防不厚道，竟然没给完整的代码，自己整理一份备用吧，驱网、DebugMan、邪八的那群人直接飘过吧。 这种方法的关键在于给线程的ETHREAD.CrossThreadFlags设置PS_CROSS_THREAD_FLAGS_SYSTEM值，这样其它进程就无法结束它了，包括IceSword、RkU。至于原理，那就先看看wrk里结束进程的那几个内核函数源码，NtTerminat
Windows内核调试器原理浅析
01-05 1416
前段时间忽然对内核调试器实现原来发生了兴趣，于是简单分析了一下当前windows下主流内核调试器原理，并模仿原理自己也写了个极其简单的调试器:)　　WinDBG　　WinDBG和用户调试器一点很大不同是内核调试器在一台机器上启动，通过串口调试另一个相联系的以Debug方式启动的系统，这个系统可以是虚拟机上的系统，也可以是另一台机器上的系统(这只是微软推荐和实现的方法，其实象SoftICE这类内核调
Hook KiUserExceptionDispatcher参数指针错误的问题
SilenceNet的专栏
12-04 9546
跟了一个晚上,终于解决了大概要实现的是用这个函数替换ntdll中的KiUserExceptionDispatcher,实现方法如下:VOID NTAPI KiUserExceptionDispatcher(PEXCEPTION_RECORD pExcptRec,PCONTEXT pContext) { DWORD retValue; if (RtlDispatchException(pExcptRec,pContext)) { retValue=::ZwContinue( pContex
白话windows之四 异常处理机制(VEH、SEH、TopLevelEH...)
weixin_30760895的博客
08-26 532
原文地址：http://bbs.pediy.com/showthread.php?t=173853 今天是我侄子的4岁生日，特此更新一篇，祝我小侄子在幼儿园多泡MM我们都知道SEH异常处理机制，那VEH、TopLevelEH呢？他们执行的先后顺序是怎样的呢？当这些机制都不使用的情况下，会发生什么情况呢？异常处理器是怎么工作的？如果你对此感兴趣，那我们就一起来扒开异常处理机制的面纱吧术语:SEH:...
hide userdebug 模块
04-27
您的问题是关于 Android 系统中的 hide userdebug 模块。hide userdebug 模块是 Android 系统中的一个特殊模块，它可以隐藏 userdebug 版本的系统日志，从而保护系统的安全性。它通常用于生产环境中，以避免系统日志...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值