逆WIN7X64内核调试之NTCreateDebugObject

最新推荐文章于 2023-01-11 15:00:16 发布
最新推荐文章于 2023-01-11 15:00:16 发布
阅读量3.2k 收藏 1
点赞数
分类专栏： windwos内核 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18942885/article/details/48786863
版权
NTSTATUS __fastcall proxyNtCreateDebugObject(
        OUT PHANDLE DebugObjectHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes,
        IN ULONG Flags
        )
{
        NTSTATUS status;
        HANDLE Handle;
        PDEBUG_O
最低0.47元/天 解锁文章
qq_18942885
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
VT_demo 编译修复_反调试_DEMO_VT_demo_VT_自建调试体系_
09-29
基于VT技术的自建调试体系框架
Windows内核分析——内核调试机制的实现（NtCreateDebugObject、DbgkpPostFakeProcessCreateMessages、DbgkpPostFakeThreadMes...
weixin_30622181的博客
03-31 457
本文主要分析内核中与调试相关的几个内核函数。 首先是NtCreateDebugObject函数，用于创建一个内核调试对象，分析程序可知，其实只是一层对ObCreateObject的封装，并初始化一些结构成员而已。 我后面会写一些与window对象管理方面的笔记，会分析到对象的创建过程。 来自WRK1.2 NTSTATUS NtCreateDebugObject ( OUT P...
重写部分调试体系的DebugPort隐藏
最新发布
被遗弃的庸才博客
01-11 1843
能正常调试vmp和se，并且没有debugport的痕迹（如果你想调试某游戏，我的评价是我不知道，因为我不玩）。al-khaser_x86下除了父进程和watch memory，debug的痕迹都没有了（当然检测的方式还有窗口名和进程名的方式，这里并没有处理，你可以参考hyperhiden把这些也加上），NtYieldExecution在当前开了vt的虚拟机下就是bad（不管）。
Windows NT内核函数大全
qq_42577465的博客
06-06 1556
Nt内核函数大全 NtLoadDriver服务控制管理器加载设备驱动. NtUnloadDriver服务控制管理器支持卸载指定的驱动程序. NtRegisterNewDevice加载新驱动文件. NtQueryIntervalProfile返回数据. NtSetIntervalProfile指定采样间隔. NtStartProfile开始取样. NtStopProfile停止采样...
Windows软件调试学习笔记（一）—— 调试对象
qq_41988448的博客
07-01 1046
软件调试学习笔记（一）—— 调试对象
win7 64bit下windbg本地内核调试方法
08-19
win7 64bitwindbg本地内核调试，网上提到的不能是实现的本地内核调试的解决方案，纯摸索得到方法。
禁用 WIN7 X64内核保护驱动签名
05-04
若不想禁用 WIN7 X64内核保护/驱动签名，开机时选择“Windows 7”启动项即可。 永远记住这一点：这个补丁是为逆向工程和64位内核模式的探索。 这不是为最终用户…如果你不理解“是什么”或“为什么”——请不要...
WIN7X64过TP驱动源码
11-24
标题“WIN7X64过TP驱动源码”暗示了这是一个与Windows 7 64位操作系统相关的项目，特别是涉及到绕过某种TP（可能是“反作弊”或“保护系统”）的技术。描述提到“可以过简单的TP游戏”，这表明源码可能包含用于规避...
破解win7 win8 win10 64位内核
07-06
破解64位win7 win8 win10系统内核，实现隐藏进程等功能
win7 x64 虚拟串口
09-28
对于“win7 x64 虚拟串口”这个主题，我们将深入探讨Windows 7 64位操作系统中的虚拟串口应用及其重要性，以及为何它被特别标记为“笔记本的好伙伴”。 首先，让我们了解串口（COM端口）的基本概念。串行端口是...
NTCreateDEbugOBject for win8..1
落笔飞花笑百生的博客
04-27 1395
这个代码可以在WIN8.1上面跑的  测试成功 自己测试的时候呢 把ObInsertObjectEx,DbgkDebugObjectType替换一下 最后用符号连接就完美了 这个不像昨天的那个伪代码 这个可以跑的 我跟着调试了一遍代码也是没有用IDA了  IDA太坑 NTSTATUS NTCreateDebugObject(OUT PHANDLE DebugObjectHandle
某P保护之调戏权限清0的学习。
kingswb的博客
06-19 1604
废话不多说啦，直接开干。 我们先来看看ValidAccessMask的值。 通过NtCreateDebugObject来定位。 uf  NtCreateDebugObject 地址为fffff800`04011f40 第一个地址就是_object_type的地址 我们想得到的ValidAccessMask存在TypeInfo中，偏移为0x40 由上图可以看出Val
关于Win7 x64下过TP保护(应用层)（转）
weixin_30565327的博客
07-21 1058
非常感谢大家那么支持我上一篇教程。Win10 快出了，所以我打算尽快把应用层的部分说完。调试对象：DXF调试工具：CE、OD、PCHunter、Windbg调试先言：TP的应用层保护做得比较多，包括对调试器的检测，比如CE工具会被DXF报非法。有的保护还是内核与应用层交替保护。应用层：1、TP让调试器卡死(内核互动)现象:<ignore_js_op>如图，TP会检测调试器让调试器暂...
滴水逆向软件调试
若面朝大海边竹妮春暖花开的博客
10-27 1405
一、调试对象 分为两种：创建进程和附加进程 创建进程为将未运行的程序创建进程 附加进程为将运行中的进程附加 对调试器做的事 DebugActiveProcess调用了DbgUiConnectToDbg，然后调用了ntdll.dll模块中的DbgUiConnectToDbg DbgUiConnectToDbg调用ZwCreateDebugObject，进入0环，创建_DEBUG_OBJECT...
Windows 中断异常管理
leibso的博客
07-26 754
前言 本文参考 张银奎.《软件调试》一书,融入了自己的理解，以及将逻辑用伪代码形式表达 1. 中断和异常管理 前言：系统调用所提供的服务是在内核里。一般是在系统空间实现，而应用软件则都在用户空间运行。它们之间有着明确的间隔。实质是CPU运行模式的不同。 通过一条int 0x2e的指令可以让CPU陷入内核。 1.1 IDT、IDTR、PCR、PCRB等背景知识 IDT: 中断描述符表寄...
对象创建(ObCreateObject)和对象删除(ObDereferenceObject、ObpRemoveObjectRoutine)
08-13 1606
原文地址：http://uninformed.org/index.cgi?v=1&amp;a=5&amp;p=5   进程执行的临界时段是指在新的进程对象实例被nt!ObCreateObject创建 和该进程对象被nt!ObInsertObject插入到进程对象类型表之间的时段。在该时段尝试获取进程的句柄是不安全的，比如使用nt!ObOpenObjectByPointer。如果一个应用程序试...
逆WIN7X64内核调试体系之NtDebugActiveProcess
落笔飞花笑百生的博客
09-27 3947
NTSTATUS __fastcall proxyNtDebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle){         PMY_OBJECT_TYPE object;         PMY_OBJECT_TYPE debugobject;         OBJECT_HANDLE_INFORMATION
Windows内核--系统调用参数验证(5.1)
编程语言技巧经验分享
11-23 641
内核模式之所以有别于用户模式，在于内核模式应该是安全、可信的。用户系统调用可以传入各式各样的参数，可能是代码无意写错或因不预期的内存覆盖"暗地修改"参数，也可能是Hack有意传入，内核都应当妥善处理，避免内核读写到不预期的地址，造成内核被破解或不稳定。
PP保护4:DbgkpProcessDebugPortMutex与DbgkDebugObjectType
netword12345的专栏
03-05 1560
PP保护对DbgkpProcessDebugPortMutex进行了处理,在其count里不停写入100,造成的后果就是OD一打开,就卡死了. PP保护还会遍历OBJECT,如果发现存在有DEBUG_OBJECT类型的OBJECT,就直接重启了。 所以要处理它们，处理互斥体的是这样的，自己申请一段内存，放在PP保护写入的地址处，然后把真正的MUTEX释放掉就OK了： 处理DbgkDebug
Win7x64驱动调试环境搭建：VMWare + WinDbg双机调试指南
"驱动开发入门教程，专注于Win7 x64环境下的双机调试设置，利用WinDbg在物理机和VMWare虚拟机之间进行驱动程序的调试。" 本文主要介绍如何在Windows 7 64位操作系统环境下，通过WinDbg搭建一个双机调试环境，特别是...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值