首页
论坛
课程
招聘
使用WinDbg网络调试Windows内核看看 TX 在我电脑上干啥了记录下
2021-10-26 21:20 5251

使用WinDbg网络调试Windows内核看看 TX 在我电脑上干啥了记录下

2021-10-26 21:20
5251

各种翻车现场才有了这个帖子记录下
1.下载WinDbg预览版
2.配置虚拟机搭建双机调试环境
3.查看SSDT钩子
4.查看钩子被抛异常给拦着了

1.下载WinDbg预览版

有人就会问为啥不用系统自带的呢?翻车了呗!死活下载不了本机的预览版
链接:https://pan.baidu.com/s/1A4k9E-GA86BDE1xU6K_E4w
提取码:6508

2.配置虚拟机搭建双机调试环境

0.1原始版手动配不想搞了,一直忘记把打印机给移除了,还手动配有点复杂放弃了(以前搞过用过)
0.2使用 VirtualKD-Redux-2021.3搭建。 虚拟机安装了target64,死活连不上各种翻车,重装系统还是不行,果断放弃了(以前搞过用过)。
0.3经常逛看雪了解了使用WinDbg预览版网络调试Windows,就网络搜索资料尝试了下,还是翻车了。最后发现没有配置虚拟机的IP。
开搞

 

1.在虚拟里敲几行代码
图片描述

 

插入代码

1
bcdedit /dbgsettings net hostip:192.168.0.120 port:50000 key:abc.def.aaa.ddd
1
bcdedit /debug on

这里的ip是你宿主机的ip(就是终端调试机). 其它的自定义即可

 

这里我又翻车了windbag连不上,知道通过网连接的,就ping虚拟机的IP尽然不通,开搞一顿操作猛如虎哈哈

终于可以了双机调试了

3.查看SSDT钩子

0.1以前看钩子都是下载专用的软件,一个国内的软件更新慢了,还收费了。
0.2国外的软件下载老慢了,没国产的好用,还是英文的菜单不好用。
我就想winDbg这么强大有它不能干的事么?所以就在网上搜资料查看找了一个看着就喜欢windbag的命令

1
.foreach /ps 1 /pS 1 ( offset {dd /c 1 nt!KiServiceTable L poi(nt!KeServiceDescriptorTable+10)}){ .printf "%y\n", ( offset >>> 4) + nt!KiServiceTable }

感觉很牛叉哈哈

 


记录下将来对比看那个被TX策反叛变了。

 

运行TX的游戏抛异常中断了再命令刷新下

好了对比下
进去这个网站对比下
https://tool.oschina.net/diff

没发现哈哈

#### 4.查看钩子被抛异常给拦着了,解决异常问题

0.1看能不能windbg设置过滤掉异常
0.2找到那个EXE在疯狂发异常
开搞
1.过滤异常windbg预览英文的不会搞果断放弃
2.找出那个exe在疯狂发异常
先查资料

来个图片压阵

 

资料显示只可能是上边的程序异常(也就是win32异常)
双机调试的windbg(内核)开始找exe
图片描述

 

开始.kill XX.xex 一个一个关闭exe,当关闭到抛异常的exe时,这个世界会安静下来。 哈哈哈找到抛异常的exe。
图片描述
竟然敢在我电脑上抛异常么?开搞

 

到此为止找到元凶了

 

====================================================
所以双机的windbg(内核)暂时用不上了

 

=========================================================
windbg(用户态)闪亮登场

5.windbg(用户态)闪亮登场处理
1
windbg(用户态)在虚拟机上打开应用调试吧

终于了解了异常处理的思路了哈哈

 

图片描述
老规矩喝口水,发来发个图片压阵

 

相关资料整理

 

对于调试器的检测检查。只要在相应的检查中填入NOP即可。

 

对于控制流隐藏。你必须手动追踪程序直到payload。
Windbg调试的重要功能——内核态与用户态进行切换
实践中...........


【公告】欢迎大家踊跃尝试高研班11月试题,挑战自己的极限!

最后于 2021-11-4 15:50 被慢热型编辑 ,原因:
收藏
点赞4
打赏
分享
最新回复 (1)
雪    币: 497
活跃值: 活跃值 (1358)
能力值: ( LV3,RANK:37 )
在线值:
发帖
回帖
粉丝
qqzxc 活跃值 2021-10-27 11:09
2
0
游客
登录 | 注册 方可回帖
返回