关于Win7 x64下过TP保护(内核层)（转）

野性酷女 2022-03-16 04:42 374阅读 0赞

# 调试对象：DXF   调试工具：OD、Windbg   调试环境：Win7 SP1 X64 #

内核层部分：  
x64下因为有PatchGuard的限制，很多保护都被巨硬给抹掉了。  
比如SSDT Hook Inline Hook 所以TP无法继续使用这些保护手段了。  
除非腾Xun冒着被巨硬吊销数字签名的风险来阻止我们调试。  
我曾经在[看雪论坛][Link 1]里看过有个人写的文章，它亲自测试在x64环境下清零调试端口，结果发生了蓝屏，  
所以在x64下TP是不会清零的。这样就省了不少的事情。![S01.gif][]  
但是自从那次TP大更新后新加入了ValidAccessMask清零。  
那么在ring0中 TP除了ValidAccessMask清零，还有反双机调试，这里不是我们讨论的范畴。  
我们只是讨论如何才能正常调试游戏，于是在内核层我们只要解决ValidAccessMask清零就可以了。  
  
调试权限（ValidAccessMask）的清零  
这个标志位其实是DebugObject （调试对象）的权限，如果为0将导致无法创建调试对象（缺少权限）。  
常见的情况就是OD无法附加任何进程，这个保护刚刚出的时候很多菜鸟都没搞懂，包括我自己（知道被我师傅说我等级太低时的心情是什么？![S15.gif][]）。  
这个DebugObject在很多调试函数中都有用到 ，比如NtCreateDebugObject就有需要访问调试对象。  
所以要想办法恢复这个标志位。  
我们有三种选择：1、自己恢复原来的值 2、找到TP清零的位置Nop掉 3、移位(重建DebugObject)  
这里我选择了第一种。  
  
具体步骤如下：  
①定位DebugObject：  
在NtCreateDebugObject里就有DebugObject的地址。  
1: kd> uf NtCreateDebugObject  
nt!NtCreateDebugObject:  
fffff800\`042697a0 48895c2408      mov     qword ptr \[rsp+8\],rbx  
fffff800\`042697a5 4889742410      mov     qword ptr \[rsp+10h\],rsi  
fffff800\`042697aa 57              push    rdi  
fffff800\`042697ab 4883ec70        sub     rsp,70h  
fffff800\`042697af 418bf9          mov     edi,r9d  
fffff800\`042697b2 8bf2            mov     esi,edx  
fffff800\`042697b4 488bd9          mov     rbx,rcx  
fffff800\`042697b7 65488b042588010000 mov   rax,qword ptr gs:\[188h\]  
fffff800\`042697c0 448a90f6010000  mov     r10b,byte ptr \[rax+1F6h\]  
fffff800\`042697c7 4584d2          test    r10b,r10b  
fffff800\`042697ca 7414            je      nt!NtCreateDebugObject+0x40 (fffff800\`042697e0)  
nt!NtCreateDebugObject+0x2c:  
fffff800\`042697cc 488b052d38e5ff  mov     rax,qword ptr \[nt!MmUserProbeAddress (fffff800\`040bd000)\]  
fffff800\`042697d3 483bc8          cmp     rcx,rax  
fffff800\`042697d6 480f43c8        cmovae  rcx,rax  
fffff800\`042697da 488b01          mov     rax,qword ptr \[rcx\]  
fffff800\`042697dd 488901          mov     qword ptr \[rcx\],rax  
nt!NtCreateDebugObject+0x40:  
fffff800\`042697e0 48832300        and     qword ptr \[rbx\],0  
fffff800\`042697e4 41f7c1feffffff  test    r9d,0FFFFFFFEh  
fffff800\`042697eb 740a            je      nt!NtCreateDebugObject+0x57 (fffff800\`042697f7)  
nt!NtCreateDebugObject+0x4d:  
fffff800\`042697ed b80d0000c0      mov     eax,0C000000Dh  
fffff800\`042697f2 e9e4000000      jmp     nt!NtCreateDebugObject+0x13b (fffff800\`042698db)  
nt!NtCreateDebugObject+0x57:  
fffff800\`042697f7 488d442450      lea     rax,\[rsp+50h\]  
fffff800\`042697fc 4889442440      mov     qword ptr \[rsp+40h\],rax  
fffff800\`04269801 8364243800      and     dword ptr \[rsp+38h\],0  
fffff800\`04269806 8364243000      and     dword ptr \[rsp+30h\],0  
fffff800\`0426980b c744242868000000 mov     dword ptr \[rsp+28h\],68h  
fffff800\`04269813 488364242000    and     qword ptr \[rsp+20h\],0  
fffff800\`04269819 458aca          mov     r9b,r10b  
fffff800\`0426981c 488b158dd3daff  mov     rdx,qword ptr \[nt!DbgkDebugObjectType (fffff800\`04016bb0)\]  
fffff800\`04269823 418aca          mov     cl,r10b  
fffff800\`04269826 e84572f1ff      call    nt!ObCreateObject (fffff800\`04180a70)  
fffff800\`0426982b 4c8b4c2450      mov     r9,qword ptr \[rsp+50h\]  
fffff800\`04269830 4c894c2460      mov     qword ptr \[rsp+60h\],r9  
fffff800\`04269835 85c0            test    eax,eax  
fffff800\`04269837 0f889e000000    js      nt!NtCreateDebugObject+0x13b (fffff800\`042698db)  
这个红字就是了   
继续定位ValidAccessMask的地址。  
  
1: kd> dq fffff800\`04016bb0  
fffff800\`04016bb0  fffffa80\`00c33200 00000000\`00000000  
fffff800\`04016bc0  fffff8a0\`0009a010 0000002a\`00000012  
fffff800\`04016bd0  00000024\`000000a1 fffff880\`0119d9a0  
fffff800\`04016be0  00000002\`00000001 fffff880\`095deacc  
fffff800\`04016bf0  fffff800\`03f873f0 00000000\`00000007  
fffff800\`04016c00  00000003\`00000000 fffff800\`03e10448  
fffff800\`04016c10  fffffa80\`01bae060 00000000\`00000000  
fffff800\`04016c20  00000000\`00000000 00000003\`00000101  
  
1: kd> dt \_OBJECT\_TYPE fffffa80\`00c33200  
nt!\_OBJECT\_TYPE  
   +0x000 TypeList         : \_LIST\_ENTRY \[ 0xfffffa80\`00c33200 - 0xfffffa80\`00c33200 \]  
   +0x010 Name             : \_UNICODE\_STRING "DebugObject"  
   +0x020 DefaultObject    : (null)   
   +0x028 Index            : 0xb ''  
   +0x02c TotalNumberOfObjects : 0  
   +0x030 TotalNumberOfHandles : 0  
   +0x034 HighWaterNumberOfObjects : 0  
   +0x038 HighWaterNumberOfHandles : 0  
  +0x040 TypeInfo         : \_OBJECT\_TYPE\_INITIALIZER  
   +0x0b0 TypeLock         : \_EX\_PUSH\_LOCK  
   +0x0b8 Key              : 0x75626544  
   +0x0c0 CallbackList     : \_LIST\_ENTRY \[ 0xfffffa80\`00c332c0 - 0xfffffa80\`00c332c0 \]  
  
1: kd> dt \_OBJECT\_TYPE\_INITIALIZER fffffa80\`00c33200+40  
nt!\_OBJECT\_TYPE\_INITIALIZER  
   +0x000 Length           : 0x70  
   +0x002 ObjectTypeFlags  : 0x8 ''  
   +0x002 CaseInsensitive  : 0y0  
   +0x002 UnnamedObjectsOnly : 0y0  
   +0x002 UseDefaultObject : 0y0  
   +0x002 SecurityRequired : 0y1  
   +0x002 MaintainHandleCount : 0y0  
   +0x002 MaintainTypeList : 0y0  
   +0x002 SupportsObjectCallbacks : 0y0  
   +0x002 CacheAligned     : 0y0  
   +0x004 ObjectTypeCode   : 0  
   +0x008 InvalidAttributes : 0  
   +0x00c GenericMapping   : \_GENERIC\_MAPPING  
   +0x01c ValidAccessMask  : 0x1f000f  
   +0x020 RetainAccess     : 0  
   +0x024 PoolType         : 0 ( NonPagedPool )  
   +0x028 DefaultPagedPoolCharge : 0  
   +0x02c DefaultNonPagedPoolCharge : 0x58  
   +0x030 DumpProcedure    : (null)   
   +0x038 OpenProcedure    : (null)   
   +0x040 CloseProcedure   : 0xfffff800\`042b18e0     void  nt!DbgkpCloseObject+0  
   +0x048 DeleteProcedure  : 0xfffff800\`04105200     void  nt!xHalEndOfBoot+0  
   +0x050 ParseProcedure   : (null)   
   +0x058 SecurityProcedure : 0xfffff800\`04170530     long  nt!SeDefaultObjectMethod+0  
   +0x060 QueryNameProcedure : (null)   
   +0x068 OkayToCloseProcedure : (null)   
  
于是我们就定位到了VaildAccessMask的地址了。  
  
②恢复工作  
它的默认值是0x1F000F  
当我们自己手动修改成0时。  
使用OD附加任意进程。  
<ignore\_js\_op>![171302un2al2ya5fz2fnf6.png][]   
无法附加，那我们就要手动恢复成0x1F000F。  
具体方式我采用开DPC定时器的方法恢复，恢复的频率不会和TP的冲突。  
代码我贴出一部分，部分函数需要自己手动编写，因为在64位下编写驱动寻找SSDT等都比较麻烦。  
这些函数大家可以去网上一些x64驱动编写的教程里面抄下。  
我在这里推荐下Tesla.Angela的教程[《WIN64驱动编程基础教程》][WIN64]

1.  \#ifndef PROC
2.  \#define PROC
3.   
4.  PVOID pNtCreateDebugObject;
5.  PVOID pDbgkDebugObject;
6.  PVOID pDebugObject;
7.  PVOID pValidMask;
8.   
9.   
10. KTIMER PassObjTimer;
11. KDPC PassObjDpc;
12. LARGE\_INTEGER PassObjTime;
13.  
14. PVOID pKeStackAttachProcess;
15. PVOID pKeStackAttachProcessJmpAddr;
16. byte  bufKeStackAttachProcess\[13\];
17.  
18. VOID
19. PassObj(
20. \_\_in struct \_KDPC  \*Dpc,
21. \_\_in\_opt PVOID  DeferredContext,
22. \_\_in\_opt PVOID  SystemArgument1,
23. \_\_in\_opt PVOID  SystemArgument2
24. )
25. \{
26.         \_\_try
27.         \{
28.                 WriteProtectOff();
29.                 \*((ULONG\*)pValidMask) = 0x1F000F;
30.                 WriteProtectOn();
31.         \}
32.         \_\_except (1)
33.         \{
34.                 KeCancelTimer(&PassObjTimer);
35.                 return;
36.         \}
37.         KeSetTimer(&PassObjTimer, PassObjTime, &PassObjDpc);
38.         return;
39. \}
40.  
41. VOID PassObjectMask()
42. \{
43.         PVOID pTargetAddr;
44.         pNtCreateDebugObject = (PVOID)GetSSDTFunctionAddress(144);
45.         pTargetAddr = (PVOID)(((ULONG64)pNtCreateDebugObject) + 0x7C);
46.         pDbgkDebugObject=(PVOID)(MAKE\_TARGETADDR((\*((ULONG\*)(((ULONG64)pTargetAddr) + 3))), (ULONG64)pTargetAddr));
47.         pDebugObject = (PVOID)(\*((ULONG64\*)pDbgkDebugObject));
48.         pValidMask = (PVOID)(((ULONG64)pDebugObject) + 0x40 + 0x1c);
49.         PassObjTime.QuadPart = -10000 \* 100;
50.         KeInitializeTimer(&PassObjTimer);
51.         KeInitializeDpc(&PassObjDpc, &PassObj, NULL);
52.         KeSetTimer(&PassObjTimer, PassObjTime, &PassObjDpc);
53. \}
54.  
55. VOID UnPassObjectMask()
56. \{
57.         KeCancelTimer(&PassObjTimer);
58. \}
59. \#endif

[Link 1]: https://www.baidu.com/s?wd=%E7%9C%8B%E9%9B%AA%E8%AE%BA%E5%9D%9B&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[S01.gif]: http://www.mengwuji.net/static/image/smiley/yangcong/S01.gif
[S15.gif]: http://www.mengwuji.net/static/image/smiley/yangcong/S15.gif
[171302un2al2ya5fz2fnf6.png]: http://www.mengwuji.net/data/attachment/forum/201507/18/171302un2al2ya5fz2fnf6.png
[WIN64]: https://www.baidu.com/s?wd=%E3%80%8AWIN64%E9%A9%B1%E5%8A%A8%E7%BC%96%E7%A8%8B%E5%9F%BA%E7%A1%80%E6%95%99%E7%A8%8B%E3%80%8B&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd