[Windows] [Debug] 記憶體無痕鉤子 - 硬體斷點 (C++) 實作 Ring3 進程防殺

-

前言

其實三年前就土炮過調試器了，不過最近要做碩論（？）會用到動態路徑分析所以又重新回頭來玩一些以前寫外掛用到的技能，而翻了一下繁體中文的文獻好像對這部分沒什麼提及就寫了一篇做一個簡單整理（主要是方便我以後回頭拿來當工具用XD）

本文實作做一個標準調試器自動下硬體斷點、然後修改暫存器內容再恢復執行緒運作，藉此來達成記憶體程式碼不破損情況下做到修改程式邏輯，完成自我進程防殺（防止工作管理員殺除）

Debugger

在 Windows 進程權級分割下如果想除錯其他進程要先用 AdjustTokenPrivileges 拿取 SE_DEBUG 令牌，有了這張令牌就可以除錯其他進程（不過拿這張令牌要先過 UAC 就是）接著可以用 DebugActiveProcess 函數 attach 上對應你想動態除錯的進程、接著你除錯的進程就會被掛起成 DEBUG_MODE 接著執行緒會被排程跳到 DbgBreakPoint 上踩到 \xCC 然後就拋出一個異常可以讓 Debugger 接收負責接下來對應處理。 （所以一些殼在處理 anti-attach 主要就是在 DbgBreakPoint 上一個 hotpatch 去自殺）

而接下來 Debugger 負責做的處理就是一個無限迴圈：以 WaitForDebugEvent 向系統拿取當前被掛載進程的異常事件（這個概念有點像 Win32 視窗程式的 GetMessage 架構拿消息）當被掛載進程拋錯時候，WaitForDebugEvent 就可以拿到異常事件、Debugger 負責接手接下來的事情。

所以講到這邊原理就很淺而易見可以知道：如果外掛要修改邏輯（以除錯器模式實作）就會有很基礎的三種方式去讓程式執行到想攔截的函數時，就必須拋錯，主流方法就三種：
  1. int 3 讓 CPU 踩上去時候自動拋出異常
  2. 記憶體改成不可執行的分頁區讓 DEP 防護拋出異常
  3. 或者本文要講的硬體斷點手段

硬體斷點（DR0 → DR4）

可以查閱 wiki 知道：wiki/X86_debug_register，總之 x86 CPU 提供了每個 Thread 有四個「當前正在除錯的地址」可以指示當 CPU 正在對某塊地址進行 讀/寫/執行 時「就必須拋錯」。那麼這四個地址就分別放在 DR0 ~ DR4（對，就把你想攔截的地址放上去就對了沒什麼技巧）

那麼怎麼讓 CPU 知道到底是對記憶體 執行、讀、還是寫的時候才要斷下來呢？甚至我可能先寫上地址但不想馬上斷下來需要有個開關嘛，這部分可以看到 wiki：
Bits 16-17 (DR0), 20-21 (DR1), 24-25 (DR2), 28-29 (DR3), define when breakpoints trigger. Each breakpoint has a two-bit entry that specifies whether they break on execution (00b), data write (01b), data read or write (11b). 10b is defined to mean break on IO read or write but no hardware supports it.[citation needed] Bits 18-19 (DR0), 22-23 (DR1), 26-27 (DR2), 30-31 (DR3), define how large an area of memory is watched by breakpoints. Again each breakpoint has a two-bit entry that specifies whether they watch one (00b), two (01b), eight (10b)[1] or four (11b) bytes.[2]
簡單來說 DR7 這樣一個 int32_t 裡面可以配置：bit[16:17] 是 DR0 所記憶體地址 hook 的開或關（分別對應要全域還是區域 hook）bit[20:21] 對應 DR1... 依此類推。那麼怎麼配置讀/寫/執行 時候才要斷下來呢？分別對應在 bit[18:19] 是 DR0 讀寫還是執行（00b 是執行、01b 是讀、10b是寫、11是唯有讀寫時才拋錯）
所以可以大概理解為：bit[16] 後每 4 bit 分別對應 DR0、DR1、DR2、DR3 的讀寫開關與拋錯條件。

PoC




由於砍進程通常要透過 WinAPI -- TerminateProcess，調用此 API 需要給定 hProcess 是你用 OpenProcess 去跟系統要回來的令牌（亦即你權限不夠就拿不到這張令牌）所以大部分做進程防殺都在此 API 做攔截。

那可以看到 ntdll!NtOpenProcess 的原型第四個參數是 PCLIENT_ID 根據 x64 Calling Convention 可以知道 R9 上應該會拿到一個 uint64_t 的 address 裡面含有當前要拿令牌的 Proccess ID。

講到這邊廢話不多說，觀念都很簡單就可以直接上實戰 PoC 惹：
效果如下圖：
其實調試器做的事情很簡單，就負責對工作管理員的每一個 Thread 的 DR0 上一個 NtOpenProcess 的 hook，配置好後就等待 Process 執行到此 API 拋錯回來，我們就可以透過 ReadProcessMemory 把 R9 內容讀回來看是不是我們自己的 Proccess Id，如果是、我們就可以把 Rcx（第一個參數）清掉讓它拿不到令牌達成進程免殺。

而這個實作因為不牽涉上記憶體 patch 所以可以看到記憶體上面是沒有任何痕跡的，這也是為啥線上遊戲外掛那麼愛用XD，大部分反外掛防護要防止這類型手段通常都避免其他進程可以 DEBUG 遊戲程式來下硬體斷點。不過只要這一層繞掉，基本上在暫存器上面的直接上 DRn Hook 檢測起來是相當費力的。

留言

張貼留言

這個網誌中的熱門文章

[C#] Lambda花式應用噁爛寫法（跨UI委派秒幹、多線程處理...etc）

-
為啥會有這篇呢...因為最近寫太多C# 突然發現Lambda對程式碼減化太有幫助了=...= 為了怕哪天老人癡呆忘了這些噁心的花式寫法，就開一篇Blog文紀錄了 以前在寫多線程,可能得這麼寫： void Func() {/*多線程要做的事情*/} //接著呼叫： Thread nThread = new Thread(Func); nThread.Start(); 但今天用Lambda可以改寫： Thread nThread = new Thread(() => {/*多線程要做的事情*/}); nThread.Start(); 甚至在噁心點寫的寫法： new Thread(() => {/*多線程要做的事情*/}).Start(); 簡單來說Lambda的形式可拆解成： ()是指你的函數參數列、然後可用=>代表你要接的Lambda陳述句/塊，最後用{}把事情包起來。 在來就是比較討厭的C#內要做跨UI線程操控UI上物件，會有跨UI安全性線程問題， 所以一般會額外寫個委派函數，然後請求UI Thread去處理這個委派函數請求，才能控制 這樣往往可能只用一兩次的委派函數，卻要占用一個篇幅去寫委派函數 先看看正常的跨UI委派寫法： private delegate void nCallback(string ContentText); public void n(string ContentText) { if (this.InvokeRequired) { nCallback obj = new nCallback(n); this.Invoke(obj, new object[] { ContentText }); return; } this.Text = ContentText; } //調用時呼叫n("str") 就可以改寫成： this.Invoke(new Action(() => { this.Text = "Str"; })); 又因為=>後面可接陳述塊或者陳述句，所...
閱讀完整內容

[Windows] 逆向工程 C++ 中入口函數參數 main(argc, argv) 與如何正確的進行參數劫持

-
圖片
前言 我在 Github 上三年前開源了精簡的以 C/C++ 撰寫的 Windows 執行程式裝載器： aaaddress1/RunPE-In-Memory  用以從記憶體執行以 C/C++ 開發的 *.exe 程式不必以 CreateProcess() 來叫起，算是一種概念性 PoC 啦畢竟這種手段在惡意程式和殼上經常使用，所以寫一寫就丟出來給大家玩 XD 不過有人在我的專案發起了 Issue：既然能從記憶體中執行 *.exe 那能否偽造 *.exe 取得的參數呢？嗯好問題XD 正逢去年蠻忙的所以一直懶得弄，這個月比較閒於是就決定在專案中新增 參數偽造 的功能，這邊簡單提一下 C++ 中 main() 入口所收的 argc 與 argv 來的。 [附註] 以下逆向工程內容以 MinGW 生產的程式為例， 系統逆向工程為 Win10 企業版 1809版  CRTStartup 在 Windows 下通常取得參數通常分為兩種狀況：  WINAPI GetCommandLineW() 系統函數返回字串指針指向當前完整應用程式參數 從 main(argc, argv) 拿回來的參數，那麼第二種狀況在編譯器是怎麼吐參數給開發者 main 入口的呢？ 在編譯器吐出執行程式後，連結器會生產一段 CRTStartup 的函數用於做一些基礎的例如像是 Security Cookies、Control Flow Guard 保護的初始化，在一系列初始化之後 .data 段的全域變數 _argv、argc 紀錄著要傳入給開發者入口函數的 參數陣列 與 數量，就以參數形式呼叫 main() 函數 好問題，那這兩個全域變數是在哪裡被初始化的？ 你會發現以 MinGW 為例的話，會去呼叫 msvcrt!__getmainargs() 來取得參數資訊保存到 .data 全域變數上，後續再傳遞給 main() 函數；如果是 VC++ 吐出來的則是直接呼叫 GetCommandLineW() 在做文字切割取出參數 MSVCRT MSVCRT.dll 有導出一系列 C 函數是引用 #include <stdio.h> 時會用到的，例如 printf, sprintf, gets 等等。...
閱讀完整內容

重建天堂之門：從 32 位元地獄一路打回天堂聖地（上）深度逆向工程 WOW64 設計

-
圖片
前言 這份研究是從去年底開始摸的，主因是一直對 Windows 如何實作 WOW64 兼容架構覺得有意思，並且坊間蠻多開源的天堂之門專案都死掉了 QQ 所以才打算自己完全重新逆向工程分析過一次。 逆向整個 WOW64 架構可以發現很多蠻有意思的問題，比方說 Intel 晶片指令集模式切換、記憶體模擬分配、WOW64 偽造的原生 32-bit 環境，例如 System32 在 32-bit 下會被重導向至 SysWOW64 到底在哪一層實作重導向的呢 ;)  此研究也運氣不錯分別被國內研討會 CYBERSEC 收錄為 《重建天堂之門：從 32bit 地獄一路打回天堂聖地》 與 HITB（Hack In The Box Security Conference）收錄為  《WoW Hell: Rebuilding Heavens Gate》 若對線上演講內容有興趣可以參考 Youtube 上 HITB 的直撥串流  HITB2021AMS D1T2 - WoW Hell: Rebuilding Heavens Gate - ShengHao Ma   不過我英文很破能不看就不看啦 由於整份演講內容想提的細節太多了，所以本部落格文拆成上下兩集。 當前本文是上集，會講述完整逆向工程整套微軟設計的 WOW64 架構怎麼設計的 。而下集《 重建天堂之門：從 32 位元地獄一路打回天堂聖地（下）攻擊篇：x96 Shellcode、天堂聖杯 ＆ 天堂注入器 》會著重在我今年發表出來的幾個有趣的攻擊點 :) 如果對天堂之門技術已經很熟的大佬，可以跳過本文看下一集了 <(_ _)> ＊注意＊ 本份研究在 2021/06/11 是基於 Windows 10 Enterprise 最新版本逆向工程結果所紀錄， 可能與讀者電腦中反編譯出來的結果有所出入是正常的 。筆者實測了同樣是 Windows 10 但不同組建版本在組合語言層級皆有些許差異，不過各個函數設計用途是固定且規律的、不會因版本而有所差異。 而整份研究不限但至少涉及了以下已知文獻，蠻值得一看的 2011 -  Mixing x86 with x64 code by ReWolf 2012 -  Knockin’ on Heaven’s Gate by georg...
閱讀完整內容