逆WIN7X64内核调试之NTCreateDebugObject

最新推荐文章于 2021-07-01 18:55:15 发布
最新推荐文章于 2021-07-01 18:55:15 发布
阅读量3.2k 收藏 1
点赞数
分类专栏： windwos内核 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/48786863
版权
NTSTATUS __fastcall proxyNtCreateDebugObject(
        OUT PHANDLE DebugObjectHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes,
        IN ULONG Flags
        )
{
        NTSTATUS status;
        HANDLE Handle;
        PDEBUG_O
最低0.47元/天 解锁文章
qq_18942885
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
NTCreateDEbugOBject for win8..1
落笔飞花笑百生的博客
04-27 1391
这个代码可以在WIN8.1上面跑的  测试成功 自己测试的时候呢 把ObInsertObjectEx,DbgkDebugObjectType替换一下 最后用符号连接就完美了 这个不像昨天的那个伪代码 这个可以跑的 我跟着调试了一遍代码也是没有用IDA了  IDA太坑 NTSTATUS NTCreateDebugObject(OUT PHANDLE DebugObjectHandle
Windows内核分析——内核调试机制的实现（NtCreateDebugObject、DbgkpPostFakeProcessCreateMessages、DbgkpPostFakeThreadMes...
weixin_30622181的博客
03-31 453
本文主要分析内核中与调试相关的几个内核函数。 首先是NtCreateDebugObject函数，用于创建一个内核调试对象，分析程序可知，其实只是一层对ObCreateObject的封装，并初始化一些结构成员而已。 我后面会写一些与window对象管理方面的笔记，会分析到对象的创建过程。 来自WRK1.2 NTSTATUS NtCreateDebugObject ( OUT P...
180310 逆向-反调试技术（3）DebugObject
whklhhhh的博客
03-23 718
1625-5 王子昂 总结《2018年3月10日》 【连续第525天总结】 A. 反调试技术（3） B. DebugObject 之前都是从被调试进程入手找痕迹，除此以外调用了DebugAPI的调试器必然要向系统进行声明注册，因此从调试器一边寻找痕迹也是可行的 调试器与被调试程序建立关系有两种途径 在创建进程时设置DEBUG_PROCESS 调用DebugActiveP...
Windows软件调试学习笔记（一）—— 调试对象
qq_41988448的博客
07-01 1028
软件调试学习笔记（一）—— 调试对象
Windows NT内核函数大全
qq_42577465的博客
06-06 1522
Nt内核函数大全 NtLoadDriver服务控制管理器加载设备驱动. NtUnloadDriver服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice加载新驱动文件. NtQueryIntervalProfile返回数据. NtSetIntervalProfile指定采样间隔. NtStartProfile开始取样. NtStopProfile停止采样...
win7 64bit下windbg本地内核调试方法
08-19
win7 64bitwindbg本地内核调试，网上提到的不能是实现的本地内核调试的解决方案，纯摸索得到方法。
禁用 WIN7 X64内核保护驱动签名
05-04
若不想禁用 WIN7 X64内核保护/驱动签名，开机时选择“Windows 7”启动项即可。 永远记住这一点：这个补丁是为逆向工程和64位内核模式的探索。 这不是为最终用户…如果你不理解“是什么”或“为什么”——请不要...
WIN7X64过TP驱动源码
11-24
标题“WIN7X64过TP驱动源码”暗示了这是一个与Windows 7 64位操作系统相关的项目，特别是涉及到绕过某种TP（可能是“反作弊”或“保护系统”）的技术。描述提到“可以过简单的TP游戏”，这表明源码可能包含用于规避...
破解win7 win8 win10 64位内核
07-06
破解64位win7 win8 win10系统内核，实现隐藏进程等功能
win7 x64 虚拟串口
09-28
对于“win7 x64 虚拟串口”这个主题，我们将深入探讨Windows 7 64位操作系统中的虚拟串口应用及其重要性，以及为何它被特别标记为“笔记本的好伙伴”。 首先，让我们了解串口（COM端口）的基本概念。串行端口是...
对ValidAccessMask改写 x64(反调试) 建议新手来学习
02-08
最精简的代码对ValidAccessMask改写 x64(反调试) 代码非常精简 实际也就几个流程 定位SSDT 这个我是用读msr寄存器的 定位ValidAccessMask用的是特征码定位 最后通过Mdl映射到内存描述表再改写（多此一举 只是给你们更简单的理解`） 一个线程循环对该地址不断改写 知道驱动退出 也就这几个流程 我直接上源码把 代码非常精简 不超过400行
某P保护之调戏权限清0的学习。
kingswb的博客
06-19 1602
废话不多说啦，直接开干。 我们先来看看ValidAccessMask的值。 通过NtCreateDebugObject来定位。 uf  NtCreateDebugObject 地址为fffff800`04011f40 第一个地址就是_object_type的地址 我们想得到的ValidAccessMask存在TypeInfo中，偏移为0x40 由上图可以看出Val
关于Win7 x64下过TP保护(应用层)（转）
weixin_30565327的博客
07-21 1056
非常感谢大家那么支持我上一篇教程。Win10 快出了，所以我打算尽快把应用层的部分说完。调试对象：DXF调试工具：CE、OD、PCHunter、Windbg调试先言：TP的应用层保护做得比较多，包括对调试器的检测，比如CE工具会被DXF报非法。有的保护还是内核与应用层交替保护。应用层：1、TP让调试器卡死(内核互动)现象:<ignore_js_op>如图，TP会检测调试器让调试器暂...
2种内核级反用户态调试方法
lixiangminghate的专栏
09-23 1708
0.前言     很久前写过一些应用层的反调试的文章，这类反调试方法的好处是易于实现，但缺点是很容易被绕过----保护因此失效。我们的危机公关手段是：将反调试功能放到内核中用驱动程序实现，以增强程序的反调试能力。由于vista后patch guard的影响，因此本文以Xp系统为例，其他系统需要对代码中的硬编码进行调整。 1.调试对象(DEBUG_OBJECT)介绍     当调试器创建进程时
绕过DebugPort清零自建调试体系
haodawei123的博客
03-16 3012
g_DebugPort是个全局变量通过NtCreateDebugObject来创建，在进程的回调句柄里面，然后将
关于Win7 x64下过TP保护(内核层)（转）
weixin_30819085的博客
07-21 629
首先特别感谢梦老大，本人一直没搞懂异常处理机制，看了他的教程之后终于明白了。在他的教程里我学到了不少东西。第一次在论坛发帖，就说说Win7 x64位下怎么过TP保护。如果有讲错的地方，还望指出。说不定我发帖后一星期TP就会大更新呢。打字排版好辛苦。先说说内核层，看大家的反应后再说说应用层的保护。（包括解决CE非法问题）调试对象：DXF调试工具：OD、Windbg调试环境：Win7 SP1 X64...
总结一下ObRegisterCallbacks绕过
zhuhuibeishadiao
10-18 5310
1.物理Section Map到用户空间 解析物理地址操作内存 2.修改PsProcessType/PsThreadType下_OBJECT_TYPE_INITIALIZER下RetainAccess为0x1fffff 无视抹权限 原理见ObpPreInterceptHandleCreate ObpPreInterceptHandleCreate(PVOID Object, unsigned _...
CreateProcess流程分析
OSReact的专栏
07-12 1569
这个项目是本人在科锐和同学一起完成的项目，各有分工，我的任务是分析CreateProcess从用户态到内核态的整体流程框架(部分函数的具体实现由其他同学的完成)。 声明：由于本人能力有限，文中必然有错漏之处，恳请读者不吝赐教.(第一次写文章) 这里为了方便大家查阅，给出其他同学分析的链接： CreateProcess函数的整体流程分析：http://bbs.pediy.com/s
ObjectType_Callback探索
若面朝大海边竹妮春暖花开的博客
02-28 1161
使用PCHunter工具查看object钩子时发现有一种Hook是ObjectType_Callback,Object类型为Process WRK中的全局类型对象变量中没有这一类型 查看ObTypeIndexTable表，对比有HOOK和无HOOk的情况下，看元素是否有增加，如果是自创类型，在这个表里，应该有增加一项 ObTypeIndexTable在XP系统中不存在，前两项是无效的 当有HOO...
win7 x64驱动开发 vs2019配置
最新发布
09-25
win7 x64驱动开发是指在Windows 7 64位操作系统上进行驱动程序开发的过程。而VS2019配置是指在Visual Studio 2019集成开发环境中进行相关配置的步骤。 Win7 x64驱动开发需要在64位的Windows 7操作系统上进行驱动程序的开发和调试。开发驱动程序需要使用C或C++语言，并且需要具备驱动开发的相关知识和经验。驱动程序是操作系统内核的一部分，它与硬件设备进行通信，控制设备的操作和功能。同时，驱动程序开发也需要考虑操作系统的版本和架构等因素。 而VS2019是微软公司推出的开发工具，它集成了代码编辑器、编译器和调试器等功能，能够帮助开发者进行软件开发工作。在进行Win7 x64驱动开发时，可以使用VS2019进行开发环境的配置，以便更方便地进行代码编写、调试和测试。 为了进行Win7 x64驱动开发，首先需要安装VS2019开发环境。在安装过程中，可以选择安装相关的开发组件，以便支持驱动程序开发所需的功能和工具。安装完成后，可以打开VS2019，创建一个新的驱动程序项目。在项目中，可以添加和编辑驱动程序源代码，并进行编译和构建。在调试过程中，可以使用VS2019提供的调试器进行代码的单步调试和变量的查看。 总结起来，Win7 x64驱动开发和VS2019配置是两个不同的概念，前者是指在Windows 7 64位操作系统上进行驱动程序的开发过程，后者是指在VS2019开发环境中进行相关配置的步骤。通过VS2019的配置，可以更加方便地进行Win7 x64驱动开发工作。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值