將一個(gè)程序拖拽進(jìn)OD中，這種方式是通過(guò) CreateProcess() 建立聯(lián)系的。

程序正在運(yùn)行中通過(guò)OD附加程序，這種方式是通過(guò) DebugActiveProcess() 建立聯(lián)系的。

DebugActiveProcess執(zhí)行流程

<1> kernel32！ DbaUiConnectToDbg()

ntdll！ DbgUiConnectToDbg()

ntdll！ ZwCreateDebugObject()

ntoskrnl！ NtCreateDebugObject()

<2> kerel32！ DbgUiDebugActiveProcess(被調(diào)試進(jìn)程句柄)

ntdll！ DbgUiDebugActiveProcess(被調(diào)試進(jìn)程句柄)

ntdll！ DebugActiveProcess(被調(diào)試進(jìn)程句柄調(diào)試器進(jìn)程TEB+0xF24)

ntdll！ DebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle)

打開(kāi)ntdll

這里開(kāi)始提供操作碼開(kāi)始進(jìn)入0環(huán)，ZwCreateDebugObject就是進(jìn)入0環(huán)創(chuàng)建一個(gè)調(diào)試對(duì)象。

NTSTATUS NTAPI ZwCreateDebugObject(_Out_ PHANDLE DebugHandle,_In_ ACCESS_MASK DesiredAccess,_In_ POBJECT_ATTRIBUTES ObjectAttributes,_In_ ULONG Flags );typedef struct _DEBUG_OBJECT {KEVENT EventsPresent;FAST_MUTEX Mutex;LIST_ENTRY EventList;union{ULONG Flags;struct{UCHAR DebuggerInactive:1;UCHAR KillProcessOnExit:1;};}; } DEBUG_OBJECT, *PDEBUG_OBJECT;

ntdll是3環(huán)的只要是3環(huán)的一定不會(huì)存內(nèi)核對(duì)象的地址而是一個(gè)句柄。

ZwCreateDebugObject 第一個(gè)參數(shù)是OUT類型返回一個(gè)句柄，返回到EAX了，這時(shí)EAX的位置是TEB+0xF24的位置。

遍歷進(jìn)程中所有線程的TEB+0xF24的位置，如果這個(gè)位置有值那你的程序一定是被調(diào)試了。

打開(kāi)ntdll

開(kāi)始進(jìn)入0環(huán)了

打開(kāi)ntoskrnl

ObReferenceObjectByHandle 執(zhí)行完后標(biāo)黃那Handle的值變成了 “被調(diào)試進(jìn)程”的PEPROCESS結(jié)構(gòu)的地址。

ObReferenceObjectByHandle執(zhí)行完后Handle那個(gè)參數(shù)將變成 “調(diào)試對(duì)象地址”

DbgkpSetProcessDebugObject(IN PEPROCESS Process, //被調(diào)試進(jìn)程的PEPROCESS IN PDEBUG_OBJECT DebugObject,//調(diào)試對(duì)象地址IN NTSTATUS MsgStatus, //IN PETHREAD LastThread //調(diào)試對(duì)象句柄 )

DebugActiveProcess就是像上圖那樣，將進(jìn)程與調(diào)試器關(guān)鏈到一起。

防守方：

DebugPort清0（創(chuàng)建完調(diào)試對(duì)象后要占用被調(diào)試的DebugPort，DebugPort被清0就不能與調(diào)試器建立聯(lián)系了）

遍歷當(dāng)前進(jìn)程所有線程_TEB+0xF24 有值就是被調(diào)試了

HOOK NtCreateDebugObject() 不讓它創(chuàng)建調(diào)試對(duì)象

攻擊方：

NtCreateDebugObject 函數(shù)就是分配一塊內(nèi)存給_DEBUG_OBJECT，然后給它的成員賦值。我們可以重寫它代碼對(duì)著IDA抄就完事了。

要跟被調(diào)試進(jìn)程建立聯(lián)系需要DebugPort，偏移是0xbc那我們將它改了EPROCESS的結(jié)構(gòu)那么大選一個(gè)沒(méi)用的地方，把用到0xbc的都改為你選的地方的偏移。

或者說(shuō)來(lái)個(gè)更狠的，重寫DebugActiveProcess，偏移什么的都是自己說(shuō)的算。

總結(jié)

以上是生活随笔為你收集整理的1.调试对象的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。