-
-
[原创]新版xxprotect保护调试以及其x64隐藏进程等原理
-
发表于: 2019-3-25 12:10
-
时代在进步。距离老版xxprotect发布有几个月了。终于等到了新版的程序。
win7部分被v
1.pchunter检测
打开pchunter后，电脑直接黑屏重启。
解决方法:
pchunter改个名字。2.双机调试
vmp自带的内核调试器检测。挂钩R3的ZwQuerySystemInformation
3.进程隐藏
在任务管理器和调试器中看不到xxprotect.exe的进程名，但是直接遍历却可以遍历到
发现其pid被修改，变成了winlogon.exe的pid，导致其他任务管理器和调试器不显示其进程
windbg跟踪一波,发现其驱动在初始化阶段会设置保护进程的eprocess.InheritedFromUniqueProcessId 和 eprocess.UniqueProcessId
win7部分被v
把父进程PID设置为4，进程ID设置为winlongon的pid，即可“隐藏进程”。
直接patch SKProDriver.sys驱动的该函数即可不让其隐藏进程,下面贴代码
4.进程/线程对象保护
打开pchunter后，发现SKProDriver注册了以下回调
统统xor rax,rax/ret即可,并没有校验
5.调试权限清除
调试附加到进程后，出现
发现debugobject.ValidAccessMask被清空。调试发现
SKProDriver.sys 在初始化阶段有一次权限清0行为
直接nop了即可
6.
debugport检测
调试器附加到xxprotect上后，电脑一闭眼。直接重启，原来是
xxprotect.sys会实时检测其保护进程的process.debugport
发现其被赋值后，马上重启电脑
代码如下，不同的系统取不同的debugport偏移
直接xor rax,rax/ret这里即可。
7.DbgUiRemoteBreak劫持
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-3-26 18:01
被xiaofu编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
时代在进步。 是最骚的~
|
|
|
|
|
|
|
|
|
 哈哈哈哈PCHUNTER
|
|
|
准备收建文网络公司律师函
|
|
|
|
|
|
|
