paituo
|我的
|设置
|消息
|提醒
|退出

吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn»网站 › 【软件安全】 › 『软件调试区』 › Windows 基于调试器引擎缺陷引发的调试陷阱

12 / 2 页下一页

返回列表

.

查看: 1014|回复: 12

图片[6]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网

图片[7]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网

[调试逆向]
Windows 基于调试器引擎缺陷引发的调试陷阱

图片[9]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
[复制链接]

魔弑神

图片[10]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网

主题

418

帖子

216

积分

收听TA

电梯直达

楼主

本帖最后由魔弑神于 2021-9-27 10:40 编辑

众所周知在AMD64环境上，32的程序，我们可以使用CS段切换至x64环境，可以执行x64指令 0x33段选择器（天门） – 恶意软件技术 (malwaretech.com)

当然切换环境后，也是能在调试器里正常工作的，如果手动中断在环境里，调试器引擎可能需要支持x64指令，否则无法正常工作

那么我们正常运行，应该怎么样才能被检测呢, 这就要说个特殊的指令，int3 int 3 (KiBreakpointTrap)

为什么说是特殊呢，因为配合切cs可以达到出其不意的效果

在正常环境下切cs后使用int3，会得到一个STATUS_BREAKPOINT异常，如果没有注册异常接管，会崩溃。

如果在不支持(x64引擎)的调试器里运行，则什么都不会发生，但STATUS_BREAKPOINT异常依旧会有，内核会分发这个异常但调试器好像不会接收到这个异常，程序正常工作

至于为什么会发生这个情况一个是调试器汇编引擎的问题，（可能）以及int3的特性 ContextFrame.Rip -= 1; ，两个集中一起就会发生这种情况

当然像ICEBP UD2等指令不会发生这种情况

[Asm] 纯文本查看 复制代码

push 0x33

call Label1

Label1:

add dword [esp], 0x05

retf

int3

call Label2

Label2:

mov dword [esp+0x04], 0x00000023

add dword [esp], 0x0D

retf

测试调试器： x32dbg，OllyDbg，windbg。都会引发这种情况

关于反制的方法目前有更换调试器引擎

内核处理要判断cs环境

（SegCs & 0xfff8)== 3 * 16 && WoW64Process != NULL

即可

更新内容：其实就是内核分发异常的时候没有判断wow64执行x64代码，从而没有对齐堆栈地址，引发后续的一系列问题

x64 Rsp =Rsp ;

wow64 Rsp =Rsp & 0xfffffff0UI64;

欢迎评论探究,我只是大概的分析

来自我博客的一篇文章

免费评分

参与人数 1	吾爱币 +1	热心值 +1	收起理由
longling	+ 1	+ 1	用心讨论，共获提升！

查看全部评分

收藏10
免费评分
淘帖
 有用1
没用
 分享到朋友圈.

魔弑神

主题

418

帖子

216

积分

收听TA

推荐

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-28 20:36
|
只看该作者

也就是说不管是在哪个环境，都会触发STATUS_BREAKPOINT异常，最终都会回到你注册的异常去接管处理，那这个调试陷阱指的是哪个地方？
还是说在调试环境下，调试器会抛弃这个异常，从而导致你的异常接管没接收这个STATUS_BREAKPOINT异常？

主题

帖子

积分

收听TA

沙发

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-27 12:58
|
只看该作者

注意了，谢谢

回复
 支持
 反对

免费评分
 举报

schip

主题

帖子

积分

收听TA

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-27 15:31
|
只看该作者

这个很细节，学习了

回复
 支持
 反对

免费评分
 举报

luckysky

主题

帖子

积分

收听TA

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-27 18:35
|
只看该作者

某游戏就是这样做内存crc校验

主题

帖子

积分

收听TA

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-27 22:25
|
只看该作者

谢谢楼主分享

主题

帖子

积分

收听TA

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-28 08:48
|
只看该作者

这块内容不是很懂，来学习下，谢谢分享

回复
 支持
 反对

免费评分
 举报

hszt

主题

帖子

159

积分

收听TA

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-28 10:09
|
只看该作者

有例子吗，自己写了一个，编译后正常都不能执行

主题

帖子

积分

收听TA

hszt 发表于 2021-9-28 10:09
有例子吗，自己写了一个，编译后正常都不能执行

正常本身就不能执行，因为会触发INT3异常，你必须注册异常处理，接管这个异常就行了

回复
 支持
 反对

免费评分
 举报

wangxiaohu104

主题

帖子

积分

收听TA

10#

图片[12]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网
发表于 2021-9-28 20:37
|
只看该作者

大佬，好厉害，学习了

回复
 支持
 反对

免费评分
 举报

12 / 2 页下一页

返回列表


.

高级模式

B
Color
Image
Link
Quote
Code
Smilies

@朋友
|

拖入文件或浏览

验证问答换一个

图片[44]就去ID网Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn就去ID网97ID网

本版积分规则

警告：本版块禁止灌水或回复与主题无关内容，违者重罚！

回帖并转播
回帖后跳转到最后一页

文章版权归作者所有，未经允许请勿转载。

THE END

未分类

Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn

[调试逆向]
Windows 基于调试器引擎缺陷引发的调试陷阱

免费评分

归档

分类

其他操作

Windows 基于调试器引擎缺陷引发的调试陷阱 – 『软件调试区』 – 吾爱破解 – LCG – LSG |安卓破解|病毒分析|www.52pojie.cn

[调试逆向] Windows 基于调试器引擎缺陷引发的调试陷阱

免费评分

归档

分类

其他操作

[调试逆向]
Windows 基于调试器引擎缺陷引发的调试陷阱