PP保护2：与调试相关的四个内核函数

最新推荐文章于 2023-01-11 15:00:16 发布
最新推荐文章于 2023-01-11 15:00:16 发布
阅读量646 收藏
点赞数
分类专栏： 游戏相关 文章标签： 调试 内核
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/netword12345/article/details/60159117
版权

看过《软件调试》一书的人都知道这几个内函数的重要性，它们是：NtCreateDebugObject,NtDebugActiveProcess,NtDebugContinue,NtWaitForDebugEvent
这几个函数被PP保护给inline hook,对付的办法是用SSDT对抗，直接跳过函数开头的jmp.
这里有个取巧的办法就是，PP保护inline hook了这四个函数，肯定在它的内存的某个地方，存有这几个函数开头几个字节的代码，直接搜索到它，利用一下。这个地址相对于中断1的偏移是0xbb90:
这里写图片描述
为什么要取中断1的地址，是因为这个保护的地址是随机的，所以要找一个方便的地址，定位偏移就行了。
我们的代码这样写，就跳过它的HOOK了:
这里写图片描述

翱翔九天的公鸡
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
win32asm int3 int1 tf WaitForDebugEvent 调试进程
x
05-14 666
需要用到的函数 : CreateProcess ,WaitForDebugEvent,ContinueDebugEvent ,WriteProcessMemory,GetThreadContext,SetThreadContext. ReadProcessMemory 一般都要用, 这里没用到 WriteProcessMemory : 用来增加int 3 断点(0cch), 以及恢复旧数据的 GetThreadContext: 用来获取被调试进程的线程所保存的寄存器, 这些寄存器用来恢复...
TP保护的研究和学习-用户态下调试附加篇（二）
星空漫步者
04-23 1020
TP保护的研究和学习-用户态下调试附加篇 引言： ​ 本篇系列旨在研究学习腾讯保护系统的保护方案实现，文中尽量以“发现问题然后尝试解决问题”的模式来处理遇到的问题，此前网上有太多相关的资料都只是给出了一个结论式答案或者方法，对于想要深入学习的人太不友好。 我相信有很多人和我一样在尝试去深入分析的时候遇到了各种问题，我的处理方式就是遇到实际问题实际分析的方式来推进学习； ​ 计算机理论到现在为止已经...
调试与异常
若面朝大海边竹妮春暖花开的博客
02-07 735
一、调试概述 调试相当于我们看医生，医生会看出我们身体上的问题 windows提供DebugActiveProcess函数来附加目标进程调试进程，参数是进程ID，调试成功返回true，失败返回false。 返回false可以使用GetLastError获取错误 由于不知道什么时候会传来调试信息，所以用一个死循环一直等待目标进程发送调试信息给调试器 用循环中WaitForDebugEvent来等待...
int3 Windows系统调试原理
ALakers的博客
09-19 1190
本文转自：https://www.cnblogs.com/xuanyuan/p/3998408.html 探索调试器下断点的原理 　　在Windows上做开发的程序猿们都知道，x86架构处理器有一条特殊的指令——int 3，也就是机器码0xCC，用于调试所用，当程序执行到int 3的时候会中断到调试器，如果程序不处于调试状态则会弹出一个错误信息，之后程序就结束。使用VC开发程序时，在Debug版本的程序中，编译器会向函数栈帧中填充大量的0xCC，用于调试使用。因此，经常我们的程序发生缓冲区溢出时，
Nt内核函数大全
huang714的专栏
04-29 1374
Nt内核函数大全 NtLoadDriver 服务控制管理器加载设备驱动. NtUnloadDriver 服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice 加载新驱动文件. NtQueryIntervalProfile 返回数据. NtSetIntervalProfile 指定采样间隔. NtStartProfile 开始取样. NtStopProfile 停止采样...
Linux 内核态调试函数
01-09
　作用：一些内核调用可以用来方便标记bug，提供断言并输出信息。常用的两个是BUG()和BUG_ON()。 　当被调用的时候，它们会引发oops，导致栈的回溯和错误信息的打印。为什么这些声明会导致 oops跟硬件的体系结构 ...
基础实验：linux内核的编译与内核模块.doc
11-29
基础实验：linux内核的编译与内核模块.doc
LiteOS内核函数解析-RTOS内核原理.zip_liteos与rtos_liteos内核函数_rtos_rtos lite
07-14
华为NBIot操作系统LiteOS内核函数解析，基于LiteOS的NBIot开发必备！
ipftrace2:面向数据包Linux内核函数调用跟踪器
03-20
ipftrace2 ipftrace2是一个工具，可让您跟踪Linux内核内部数据包的运行过程。它类似于ftrace在某种意义上，但是，你可以跟踪哪些流已经通过该功能了这通常...步骤2：准备内核BTF 如果您的内核是使用CONFIG_DEBUG_INFO_
kmod_hooking:使用异常表进行内核函数挂钩
05-13
给定具有原型typeof(X)的内核函数X ，让我们看看如何对其进行挂钩： 使用DECLARE_KHOOK(X)宏声明钩子 使用khook_X函数名称和typeof(X)作为原型来编写hook的主体 使用KHOOK_ORIGIN(X, args)宏作为X函数调用的包装器 ...
易语言API调试测试
07-22
易语言API调试测试源码,API调试测试,debug,WaitForDebugEvent,ContinueDebugEvent,VirtualProtectEx,CloseHandle,CreateProcessA,GetStartupInfoA,ResumeThread,TerminateProcess,GetThreadContext,SetThreadContext,WriteProcessMemory,GetLastError,Suspend
dbgk(国外的三篇win调试机制的分析教程)
08-26
关于windows提高的调试机制以及反调试手段的详细介绍。注意英文版。
编写简单的 Windows调试器
06-12
你经常调试程序，但你知道调试器的工作原理吗？
PP保护4:DbgkpProcessDebugPortMutex与DbgkDebugObjectType
netword12345的专栏
03-05 1543
PP保护对DbgkpProcessDebugPortMutex进行了处理,在其count里不停写入100,造成的后果就是OD一打开,就卡死了. PP保护还会遍历OBJECT,如果发现存在有DEBUG_OBJECT类型的OBJECT,就直接重启了。 所以要处理它们，处理互斥体的是这样的，自己申请一段内存，放在PP保护写入的地址处，然后把真正的MUTEX释放掉就OK了： 处理DbgkDebug
反 DebugAPI 调试？
小喂的专栏
05-04 1864
利用 DebugAPI 调试程序时，系统通过 DbgkForwardException 函数给调试器发送异常等消息。DbgkForwardException 函数又会调用 DbgkpSendApiMessage 函数给调试对象发送调试消息。DbgkpSendApiMessage 再调用 DbgkpQueueMessage 函数把调试消息插入到调试对象的事件队列里面，插入前先获取一个 DbgkpPr
内核反调试
liuhaidon1992的博客
01-08 1273
1.钩子 对调试器附加过程中所用到的函数挂钩。 比如：NtOpenProcess、ZwDebugActiveProcess、RtlCreateUserThread、NtDebugContinue、 NtCreateDebugObject、NtWaitForDebugEvent 调试事件采集函数：DbgkCreateThread、DbgkExitThread、DbgkExitProcess...
重写部分调试体系的DebugPort隐藏
被遗弃的庸才博客
01-11 1504
能正常调试vmp和se，并且没有debugport的痕迹（如果你想调试某游戏，我的评价是我不知道，因为我不玩）。al-khaser_x86下除了父进程和watch memory，debug的痕迹都没有了（当然检测的方式还有窗口名和进程名的方式，这里并没有处理，你可以参考hyperhiden把这些也加上），NtYieldExecution在当前开了vt的虚拟机下就是bad（不管）。
Nt内核函数原型and中文
dengjiatao9832的博客
09-21 489
NtLoadDriver 服务控制管理器加载设备驱动. NtUnloadDriver 服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice 加载新驱动文件. NtQueryIntervalProfile 返回数据. NtSetIntervalProfile 指定采样间隔. NtStartProfile 开始取样. NtStopProfile 停止...
i2c驱动的probe函数中创建一个内核线程
最新发布
06-10
在i2c驱动的probe函数中创建一个内核线程，可以使用Linux内核提供的kthread_create函数。具体步骤如下： 1. 定义内核线程的函数，例如： ``` static int i2c_polling_thread(void *data) { struct i2c_adapter *...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值