看流星社区

 找回密码
 注册账号
查看: 2120|回复: 0

关于过某P的双机联调

[复制链接]

该用户从未签到

发表于 2017-6-1 17:26:16 | 显示全部楼层 |阅读模式
标题: 关于过某P的双机联调
作者:upupc
时间:2013-03-05,18:20:57
链接:http://bbs.pediy.com/showthread.php?t=163630

最近公司没啥事做,闲的蛋疼,于是来研究下怎么过某游戏驱动保护的双机联调。

调试环境:win7+windbg+VirtualKD+vmware(虚拟机装的XPSP3)
xp内核:ntkrnlpa.exe
理论知识准备:windbg双机联调的配置和内核调式器原理,这方面谷歌上大把资料,自己找吧。

我们都知道,在虚拟机上运行有驱动保护的游戏后,windbg就会没办法下断了,准确点说是windbg不会再收到目标机的任何数据,所以这时候外在现象就是windbg虽然仍然显示连接中,但是所有的功能都用不了。

要解决这个问题,我们首先要换位思考,如果是你,你怎么实现这个功能,最简单的方法当然是调用内核现成的API来实现禁用调试这个功能,于是查找内核API,发现有个KdDisableDebugger函数,从名字看就知道是干啥的了。

先在windbg查看函数具体实现,如下:
804f779c8bffmovedi,edi
804f779e55pushebp
804f779f8becmovebp,esp
804f77a151pushecx
804f77a2b102movcl,2
804f77a4ff15f4864d80calldwordptr[nt!_imp_KfRaiseIrql(804d86f4)]
804f77aa8845ffmovbyteptr[ebp-1],al
804f77ade81c010000callnt!KdpPortLock(804f78ce)
804f77b2833dc8d5548000cmpdwordptr[nt!KdDisableCount(8054d5c8)],0
804f77b9753ajnent!KdDisableDebugger+0x59(804f77f5)

nt!KdDisableDebugger+0x1f:
804f77bba0c1d55480moval,byteptr[nt!KdDebuggerEnabled(8054d5c1)]
804f77c084c0testal,al
804f77c27410jent!KdDisableDebugger+0x38(804f77d4)

nt!KdDisableDebugger+0x28:
804f77c4803dfc6f548000cmpbyteptr[nt!KdPitchDebugger(80546ffc)],0
804f77cbc605ccd5548001movbyteptr[nt!KdPreviouslyEnabled(8054d5cc)],1
804f77d27407jent!KdDisableDebugger+0x3f(804f77db)

nt!KdDisableDebugger+0x38:
804f77d4c605ccd5548000movbyteptr[nt!KdPreviouslyEnabled(8054d5cc)],0

nt!KdDisableDebugger+0x3f:
804f77db84c0testal,al
804f77dd7416jent!KdDisableDebugger+0x59(804f77f5)

nt!KdDisableDebugger+0x43:
804f77dfe8baa31600callnt!KdpSuspendAllBreakpoints(80661b9e)
804f77e4c70504405580867c4f80movdwordptr[nt!KiDebugRoutine(80554004)],offsetnt!KdpStub(804f7c86)
804f77eec605c1d5548000movbyteptr[nt!KdDebuggerEnabled(8054d5c1)],0

nt!KdDisableDebugger+0x59:
804f77f5ff05c8d55480incdwordptr[nt!KdDisableCount(8054d5c8)]
804f77fbe8de000000callnt!KdpPortUnlock(804f78de)
804f78008a4dffmovcl,byteptr[ebp-1]
804f7803ff151c874d80calldwordptr[nt!_imp_KfLowerIrql(804d871c)]
804f7809c9leave
804f780ac3ret

发现在nt!KdDisableDebugger+0x43处,是API真正起作用的地方
首先callnt!KdpSuspendAllBreakpoints挂起所有的断点,执行完这个call,windbg会从断开状态变为运行状态
然后nt!KiDebugRoutine变量设为nt!KdpStub
最后nt!KdDebuggerEnabled变量设为0,也就是false
这三条指令执行后,windbg也就无法再继续调试了

这里需要注意KiDebugRoutine,这是一个函数变量,内核调试绝大部分工作都是调用该变量所指向的函数来实现的,那么这里将它赋值为KdpStub是什么意思呢?

原来在内核中,有两个API实现了内核调试的功能,KdpStub和KdpTrap,这两个函数有什么区别呢?KdpStub是在非调试情况下使用的API,也就是说在非调式情况下KiDebugRoutine应该是指向KdpStub的,而KdpStub基本上没做什么调试的事情,而所有和调试相关的工作则都放到了KdpTrap里,所以,要想保持windbg可以使用,则要保证KiDebugRoutine是指向KdpTrap的。

分析完毕,那么要现在看游戏保护是否真的调用了KdDisableDebugger。
在KdDisableDebugger开头下断点,启动游戏。
windbg断下来了,看来是真的调用了这个函数,那么现在我们要让这个函数失去作用。
windbg输入ewKdDisableDebugger0xc390,意思是修改KdDisableDebugger头两个字节,变为:
kd>uKdDisableDebugger
nt!KdDisableDebugger:
804f779c90nop
804f779dc3ret
现在KdDisableDebugger会直接返回,不在起作用。
当然,事情远没有这么简单,取消断点继续执行后,会发现windbg还是没办法用。
看来游戏保护在调用KdDisableDebugger后还做了其他的事情。

一切重来,重启虚拟机XP,修改KdDisableDebugger为直接返回,下断KdDisableDebugger。
运行游戏,断下来后,单步执行两次,返回到上一层函数,整个函数如下
ee1a5fcaa16c6b1beemoveax,dwordptr[TesSafe+0x17b6c(ee1b6b6c)]
ee1a5fcf8b0d686b1beemovecx,dwordptr[TesSafe+0x17b68(ee1b6b68)]
ee1a5fd556pushesi
ee1a5fd68b7028movesi,dwordptr[eax+28h]
ee1a5fd957pushedi
ee1a5fda8b782cmovedi,dwordptr[eax+2Ch]
ee1a5fdd33f1xoresi,ecx
ee1a5fdf33f9xoredi,ecx
ee1a5fe1eb4bjmpTesSafe+0x702e(ee1a602e)
ee1a5fe3803d6d221bee00cmpbyteptr[TesSafe+0x1326d(ee1b226d)],0
ee1a5fea7516jneTesSafe+0x7002(ee1a6002)
ee1a5fec688a4d6e43push436E4D8Ah
ee1a5ff16876426e57push576E4276h
ee1a5ff6e873caffffcallTesSafe+0x3a6e(ee1a2a6e)
ee1a5ffbc6056d221bee01movbyteptr[TesSafe+0x1326d(ee1b226d)],1
ee1a600285fftestedi,edi
ee1a60047404jeTesSafe+0x700a(ee1a600a)
ee1a6006ffd7calledi
ee1a6008eb24jmpTesSafe+0x702e(ee1a602e)
ee1a600a803d6e221bee00cmpbyteptr[TesSafe+0x1326e(ee1b226e)],0
ee1a6011751bjneTesSafe+0x702e(ee1a602e)
ee1a60136812010000push112h
ee1a601868e64d6e43push436E4DE6h
ee1a601d6873426e57push576E4273h
ee1a6022e865caffffcallTesSafe+0x3a8c(ee1a2a8c)
ee1a6027c6056e221bee01movbyteptr[TesSafe+0x1326e(ee1b226e)],1
ee1a602e803e00cmpbyteptr[esi],0
ee1a603175b0jneTesSafe+0x6fe3(ee1a5fe3)
ee1a60335fpopedi
ee1a60345epopesi
ee1a6035c3ret


上图红色部分为当前CPU要执行的指令,继续往下执行,会发现ee1a6031处会直接跳转会该函数前面,分析它的跳转条件,cmpbyteptr[esi],0,执行到这里时,查看下esi的值,发现为8054d5c1,回想下KdDisableDebugger函数实现,里面有个变量KdDebuggerEnabled的地址也为8054d5c1,也就是说在调用了KdDisableDebugger,程序会判断KdDebuggerEnabled的值是否为1,为1的话就不停的调用KdDisableDebugger........,所以只修改KdDisableDebugger直接返回你会发现你的cpu会一直处于满负荷状态,好吧,那我修改下这个地方的判断,jne改为je,现在好了,不会再死循环了。想一想,游戏保护应该还可能有其他的地方调用了KdDisableDebugger,所以先不取消KdDisableDebugger的断点,继续执行,果然,又断下来了,执行两步,回到调用函数,如下:
ee1a6112a16c6b1beemoveax,dwordptr[TesSafe+0x17b6c(ee1b6b6c)]ds:0023:ee1b6b6c=862204e8
ee1a61178b402cmoveax,dwordptr[eax+2Ch]
ee1a611a3305686b1beexoreax,dwordptr[TesSafe+0x17b68(ee1b6b68)]
ee1a61207404jeTesSafe+0x7126(ee1a6126)
ee1a6122ffd0calleax
ee1a6124eb24jmpTesSafe+0x714a(ee1a614a)
ee1a6126803d72221bee00cmpbyteptr[TesSafe+0x13272(ee1b2272)],0
ee1a612d751bjneTesSafe+0x714a(ee1a614a)
ee1a612f6882010000push182h
ee1a613468e64d6e43push436E4DE6h
ee1a61396873426e57push576E4273h
ee1a613ee849c9ffffcallTesSafe+0x3a8c(ee1a2a8c)
ee1a6143c60572221bee01movbyteptr[TesSafe+0x13272(ee1b2272)],1
ee1a614a8b0d64221beemovecx,dwordptr[TesSafe+0x13264(ee1b2264)]
ee1a615085c9testecx,ecx
ee1a6152740fjeTesSafe+0x7163(ee1a6163)
ee1a6154a168221beemoveax,dwordptr[TesSafe+0x13268(ee1b2268)]
ee1a615985c0testeax,eax
ee1a615b7406jeTesSafe+0x7163(ee1a6163)
ee1a615d3901cmpdwordptr[ecx],eax
ee1a615f7402jeTesSafe+0x7163(ee1a6163)
ee1a61618901movdwordptr[ecx],eax
ee1a6163c3ret

当前指令位于ee1a6124处,往下继续执行
在windbg的反汇编窗口,我们会看到出现一些符号提示,如下
ee1a614a8b0d64221beemovecx,dwordptr[TesSafe+0x13264(ee1b2264)]ds:0023:ee1b2264={nt!KiDebugRoutine(80554004)}
运行到ee1a614a,出现了KiDebugRoutine,猜测这里应该是强行将KiDebugRoutine设为了KdpStub,往下执行,在ee1a6161处
ee1a61618901movdwordptr[ecx],eaxds:0023:80554004={nt!KdpTrap(80662706)}
这里显示的符号为ecx当前所有,而这条指令是吧eax的值付给ecx地址处,
kd>reax
eax=804f7c86
看到eax为804f7c86

kd>uKdpStub
nt!KdpStub:
804f7c868bffmovedi,edi
看到KdpStub的地址为804f7c86

得到结论,ee1a6161处将KdpStub赋值给了KiDebugRoutine,而KiDebugRoutine必须保持为KdpTrap,那么简单了,nop掉这句(建议不要采用nop的方式,因为搞不好以后就会内存校验这里,这里另外一种比较稳妥的方法是更改kdpStub头部,让其直接jmp到KdpTrap),继续执行。

又在KdDisableDebugger断下了,回到上层函数,发现还是之前那个函数,无视之,继续执行,
在连续断下N次后,每次都是这个函数,那么基本上也就确认只有两个地方调用了。去掉KdDisableDebugger的断点,继续执行。

游戏跑起来后,现在在breakwindbg,发现windbg又可以断下了。
搞定收工。
总结下步骤,
1.修改KdDisableDebugger为直接返回即在windbg执行ewKdDisableDebugger0xc390
2.修改驱动保护第一个调用KdDisableDebugger的函数,让其通过检查KdDebuggerEnabled,防止死循环,在windbg执行ebTesSafe+0x703174
3.修改驱动保护第二个调用KdDisableDebugger的函数,让其不要修改KiDebugRoutine的值,在windbg输入ewTesSafe+71619090
点击按钮快速添加回复内容: 支持 高兴 激动 给力 加油 苦寻 生气 回帖 路过 感恩
您需要登录后才可以回帖 登录 | 注册账号

本版积分规则

小黑屋|手机版|Archiver|看流星社区 |网站地图

GMT+8, 2024-3-19 18:23

Powered by Kanliuxing X3.4

© 2010-2019 kanliuxing.com

快速回复 返回顶部 返回列表