相關(guān)課件和源碼第16課_第1頁
全文預(yù)覽已結(jié)束

下載本文檔

版權(quán)說明：本文檔由用戶提供并上傳，收益歸屬內(nèi)容提供方，若內(nèi)容存在侵權(quán)，請進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡介

1、夢織未來(作者：mengwuji)第十六課調(diào)試對象類型中隱藏的kd d!_object_type+0 x000 TypeList+0 x008 Name+0 x010 DefaultObject+0 x014 Index+0 x018 TotalNumberOfObjects+0 x01c TotalNumberOfHandles+0 x020 HighWaterNumberOfObjects+0 x024 HighWaterNumberOfHandles+0 x028 TypeInfo+0 x078 TypeLock+0 x07c Key+0 x080 CallbackList: _LIST

2、_ENTRY: _UNICODE_STRING: Ptr32 Void: UChar: U: U: U: U4B4B4B4B: _OBJECT_TYPE_INITIALIZER: _EX_PUSH_LOCK: U4B: _LIST_ENTRY本課內(nèi)容有如下兩點(diǎn)：反檢測Pp 保護(hù)，它在啟動的時候，會獲取到調(diào)試對象類型中的 TotalNumberOfObjects和TotalNumberOfHandles 的值，然后對這兩個值不斷的檢測，只要有改變，那么就會重啟。躲過檢測方法：方法 1：Hook 掉更改 TotalNumberOfObjects和 TotalNumberOfHandles值的地方，

3、不讓其更改。kdnt!ObpAllocateObject+0 x209:8423c25b 8d4e18TotalNumberOfObjects 8423c25e 8978148423c261 8958108423c264 8bf98423c266 f00fc117TotalNumberOfObjectsleaecx,esi+18h/得到的地址mov movmovdword ptr eax+14h,edi dword ptr eax+10h,ebxedi,ecxlock xadd dword ptr edi,edx/遞增8423c26a 8b098423c26c 3b4e208423c26f 7

4、603movcmp jbeecx,dword ptr ecx ecx,dword ptr esi+20hnt!ObpAllocateObject+0 x222 (8423c274)nt!ObpIncremen 8421dbc4 8d41408421dbc7 39008421dbc9 7405ndleCountEx+0 x435:lea cmp je callxorleaeax,ecx+40hdword ptr eax,eaxnt!ObpIncremenndleCountEx+0 x441 (8421dbd0)8421dbcb e88ac7e2ff8421dbd0 33c0 8421dbd2 8

5、d4f1cnt!KiCheckForKernelApcDelivery (8404a35a)eax,eaxecx,edi+1Ch/得到TotalNumberOfHandles 8421dbd5 40 8421dbd6 f00fc101TotalNumberOfHandles 8421dbda 408421dbdb 3b4724的地址inceaxlock xadd dword ptr ecx,eax/遞增inccmpeaxeax,dword ptr edi+24hnt!ObpDecremen 8426b e840fce0ff84270000 5684270001 e8441a84270006 8

6、3c71cTotalNumberOfHandles 84270009 83c8ff8427000c f00fc107TotalNumberOfHandles 84270010 5f84270011 5bndleCount+0 x145:callpush calladdnt!KeUnstackDetachProesis (8407fc40)fnt!ObpDeleteNameCheck (84261a4a)edi,1Ch/得到的地址oreax,0FFhlock xadd dword ptr edi,eax/遞減poppopediebxnt!ObpFreeObject+0 x135:8422628e

7、 8d4818leaecx,eax+18h/得到TotalNumberOfObjects 84226291 83caff84226294 f00fc111TotalNumberOfObjects 84226298 f6460f018422629c 746e8422629e 8b4610842262a1 85c0的地址oredx,0FFhlock xadd dword ptr ecx,edx/遞減test je mov testjebyte ptr esi+0Fh,1 nt!ObpFreeObject+0 x1b3 (8422630c)eax,dword ptr esi+10h eax,eaxn

8、t!ObpFreeObject+0 x1f1 (8422634a)842262a3 0f84a1000000方法 2：用一個新的調(diào)試對象類型。反反調(diào)試#define SYNCHRONIZE#define STANDARD_RIGHTS_REQUIRED#define DEBUG_READ_EVENT(0 x00100000L) (0 x000F0000L) (0 x0001) (0 x0002) (0 x0004) (0 x0008)DEBUG_ALL_AC#define DEBUG_PROS_ASSIGN#define DEBUG_SET_INFORMATION #define DEBUG_QUERY_INFORMATION#defineS(STANDARD_RIGHTS_REQUIRED|SYNCHRONIZE|DEBUG_READ_EVENT|DEBUG_PROS_ASSIGN|DEBUG_SET_INFORMATION|DEBUG_QUERY_INFORMATION)對 ValidAc1，哪里sMask

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網(wǎng)頁內(nèi)容里面會有圖紙預(yù)覽，若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間，僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理，對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯，并不能對任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容，請與我們聯(lián)系，我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論