-
-
[讨论]ring0隐藏调试端口
-
发表于: 2009-1-22 22:32
-
ring3使用StrongOD可以把调试器隐藏得比较好了，但一到ring0它就无能为力。ring0目标进程被调试的最大特征就是DebugPort不为空，就算目标进程被调试中，一旦DebugPort被置零那么调试器也接收不到任何调试信息。如果DebugPort可以被隐藏，那么这种反调试方法就要废掉了。
初步研究，调试端口隐藏是可能的。要处理那些Dbgk**函数，如果隐藏后还要比较完美接收到调试信息，那么所有涉及到DebugPort的地方几乎都要处理，但这些Dbgk**函数比较多而且都是不导出的，处理起来比较麻烦。
有没有简单点的方法呢？
初步研究，调试端口隐藏是可能的。要处理那些Dbgk**函数，如果隐藏后还要比较完美接收到调试信息，那么所有涉及到DebugPort的地方几乎都要处理，但这些Dbgk**函数比较多而且都是不导出的，处理起来比较麻烦。
有没有简单点的方法呢？
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
shadow walker原理上是可行的,不过用来隐藏数据内存的话......开销会比较大...
|
|
|
|
