逆WIN7X64内核调试之NTCreateDebugObject

最新推荐文章于 2022-11-23 13:38:51 发布
最新推荐文章于 2022-11-23 13:38:51 发布
阅读量3.3k 收藏 1
点赞数
分类专栏： windwos内核 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/48786863
版权
本文深入探讨了如何在Windows 7 64位系统中进行内核级别的调试，特别是针对NTCreateDebugObject函数的分析，详细讲解了内核调试的基本步骤和技术要点。
摘要由CSDN通过智能技术生成
NTSTATUS __fastcall proxyNtCreateDebugObject(
        OUT PHANDLE DebugObjectHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes,
        IN ULONG Flags
        )
{
        NTSTATUS status;
        HANDLE Handle;
        PDEBUG_O
最低0.47元/天 解锁文章
qq_18942885
关注
专栏目录
NTCreateDEbugOBject for win8..1
落笔飞花笑百生的博客
04-27 1407
这个代码可以在WIN8.1上面跑的  测试成功 自己测试的时候呢 把ObInsertObjectEx,DbgkDebugObjectType替换一下 最后用符号连接就完美了 这个不像昨天的那个伪代码 这个可以跑的 我跟着调试了一遍代码也是没有用IDA了  IDA太坑 NTSTATUS NTCreateDebugObject(OUT PHANDLE DebugObjectHandle
Windows内核分析——内核调试机制的实现（NtCreateDebugObject、DbgkpPostFakeProcessCreateMessages、DbgkpPostFakeThreadMes...
weixin_30622181的博客
03-31 482
本文主要分析内核中与调试相关的几个内核函数。 首先是NtCreateDebugObject函数，用于创建一个内核调试对象，分析程序可知，其实只是一层对ObCreateObject的封装，并初始化一些结构成员而已。 我后面会写一些与window对象管理方面的笔记，会分析到对象的创建过程。 来自WRK1.2 NTSTATUS NtCreateDebugObject ( OUT P...
180310 逆向-反调试技术（3）DebugObject
whklhhhh的博客
03-23 727
1625-5 王子昂 总结《2018年3月10日》 【连续第525天总结】 A. 反调试技术（3） B. DebugObject 之前都是从被调试进程入手找痕迹，除此以外调用了DebugAPI的调试器必然要向系统进行声明注册，因此从调试器一边寻找痕迹也是可行的 调试器与被调试程序建立关系有两种途径 在创建进程时设置DEBUG_PROCESS 调用DebugActiveP...
Windows软件调试学习笔记（一）—— 调试对象
qq_41988448的博客
07-01 1076
软件调试学习笔记（一）—— 调试对象
Windows NT内核函数大全
qq_42577465的博客
06-06 1619
Nt内核函数大全 NtLoadDriver服务控制管理器加载设备驱动. NtUnloadDriver服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice加载新驱动文件. NtQueryIntervalProfile返回数据. NtSetIntervalProfile指定采样间隔. NtStartProfile开始取样. NtStopProfile停止采样...
Windows内核--系统调用参数验证(5.1)
最新发布
编程语言技巧经验分享
11-23 665
内核模式之所以有别于用户模式，在于内核模式应该是安全、可信的。用户系统调用可以传入各式各样的参数，可能是代码无意写错或因不预期的内存覆盖"暗地修改"参数，也可能是Hack有意传入，内核都应当妥善处理，避免内核读写到不预期的地址，造成内核被破解或不稳定。
win7 64bit下windbg本地内核调试方法
08-19
win7 64bitwindbg本地内核调试，网上提到的不能是实现的本地内核调试的解决方案，纯摸索得到方法。
逆WIN7X64内核调试体系之NtDebugActiveProcess
落笔飞花笑百生的博客
09-27 3961
NTSTATUS __fastcall proxyNtDebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle){         PMY_OBJECT_TYPE object;         PMY_OBJECT_TYPE debugobject;         OBJECT_HANDLE_INFORMATION
win7 x64 虚拟串口
09-28
对于“win7 x64 虚拟串口”这个主题，我们将深入探讨Windows 7 64位操作系统中的虚拟串口应用及其重要性，以及为何它被特别标记为“笔记本的好伙伴”。 首先，让我们了解串口（COM端口）的基本概念。串行端口是...
对ValidAccessMask改写 x64(反调试) 建议新手来学习
02-08
最精简的代码对ValidAccessMask改写 x64(反调试) 代码非常精简 实际也就几个流程 定位SSDT 这个我是用读msr寄存器的 定位ValidAccessMask用的是特征码定位 最后通过Mdl映射到内存描述表再改写（多此一举 只是给你们更简单的理解`） 一个线程循环对该地址不断改写 知道驱动退出 也就这几个流程 我直接上源码把 代码非常精简 不超过400行
[转载] 关于Win7 x64下过TP保护的一些思路，内核层过保护，驱动过保护
墨鱼菜鸡
09-25 617
首先特别感谢梦老大，本人一直没搞懂异常处理机制，看了他的教程之后终于明白了。在他的教程里我学到了不少东西。第一次在论坛发帖，就说说Win7 x64位下怎么过TP保护。如果有讲错的地方，还望指出。说不定我发帖后一星期TP就会大更新呢。打字排版好辛苦。先说说内核层，看大家的反应后再说说应用层的保护。(包括解决CE非法问题)调试对象：DXF调试工具：OD、Windbg调试环境：Win7 SP1 X6...
关于Win7 x64下过TP保护(内核层)（转）
weixin_30819085的博客
07-21 638
首先特别感谢梦老大，本人一直没搞懂异常处理机制，看了他的教程之后终于明白了。在他的教程里我学到了不少东西。第一次在论坛发帖，就说说Win7 x64位下怎么过TP保护。如果有讲错的地方，还望指出。说不定我发帖后一星期TP就会大更新呢。打字排版好辛苦。先说说内核层，看大家的反应后再说说应用层的保护。（包括解决CE非法问题）调试对象：DXF调试工具：OD、Windbg调试环境：Win7 SP1 X64...
绕过DebugPort清零自建调试体系
haodawei123的博客
03-16 3074
g_DebugPort是个全局变量通过NtCreateDebugObject来创建，在进程的回调句柄里面，然后将
reactos操作系统实现(86)
anjichan4261的博客
09-12 107
创建完成端口需要调用Windows APICreateIoCompletionPort： HANDLE CreateIoCompletionPort( HANDLE FileHandle, HANDLE ExistingCompletionPort, DWORD CompletionKey, DWORD NumberOfConcurrent...
Win7x64系统过TP的一些尝试和目前遇到的问题
04-08 2429
其实渣新学内核编程不过半个月时间，帖中难免有幼稚的想法和错误，遇到的问题我会用蓝色文字表述，还请各位前辈指正，感激不尽！ 我把自己目前的进展和遇到的问题一起说说吧： x64系统过TP大概分两步，首先要过双机调试，然后要过应用层调试。 1、过双机调试，这里也分两步 (1)首先要保证debug模式下启动游戏不蓝屏。 我也是第一次研究TP，对这之前的保护不了解，不过看网上所说这个启
从应用层解决TP类游戏无法读写，可OD附加
yudian666的博客
10-05 3291
废话不说，本来是给一个人录制的，反正一会一传十十传百。我就索性它放出来让它加速和谐。 1.解决内存操作工具无法对DNF进行读写（TP类游戏都能只要是用到xxxBase.dll都可以）. 2.内容有去除tersafe.sys加载(修改好一定要用tgp登陆可能DNF还有ClientBase.dll这个可能会加载驱动).      无法读写的原因就是DNF不仅会加载一个驱动（
一个修改NT内核的真实RootKit
04-22 4729
发布日期：2003-06-16文摘内容： 文章出处：http://www.xfocus.net/articles/200306/558.html创建时间：2003-06-14文章属性：翻译文章提交：TOo2y (too2y_at_safechina.net)------------------[  Phrack 杂志 --- 卷标 9 | 期刊 55  ]------------------[  
windows创建进程的用户态和内核态交互----小话windows(1)
Lassewang的成长历程
04-25 1444
作者：陈曦 日期：2012-6-19 12:28:30 环境：[win7旗舰版 SP1  ; Intel i3  x86, 支持64位  ;vs2010  ; wrk-v1.2  ; Virtual PC 2007   windows 2003 server sp1 standard edition镜像 ;WinDbg 6.11.0001.404(x86) ] 转载请注明
Win7 64位系统下使用Windbg进行本地内核调试的步骤
"在Win7 64位操作系统下，使用Windbg进行本地内核调试可能会遇到一些挑战，因为网上的一些教程可能并不适用于这个特定的环境。本文将介绍一种摸索得出的方法，帮助用户成功地在64位Win7系统上进行内核调试。" 在...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值