设为首页收藏本站
切换到宽版

UltraDebug

 找回密码
 立即注册

QQ登录

只需一步，快速开始

搜索
热搜: A C D R G Y M Z X S P
公益项目，接受捐赠
UltraDebug»论坛 › 工具A2区 › +逆向工具`💎 › OllyDbg 1.x Plugin SkyOD驱动反反调试插件
返回列表 发新帖
查看: 1352|回复: 0
收起左侧

[dbg插件] OllyDbg 1.x Plugin SkyOD驱动反反调试插件

[复制链接]
keyishiyong
keyishiyong

主题

0

回帖

UD

新手上路

UID
46
积分
28
注册时间
2022-5-18
最后登录
1970-1-1
2022-7-20 16:40:59 | 显示全部楼层 |阅读模式
SkyOD是一款驱动级的反反调试插件
OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

隐藏PEB(R3)
  • peb.BeingDebugged & peb64.BeingDebugged
  • peb.NtGlobalFlag & peb64.NtGlobalFlag
  • peb.processHeap.HeapFlags & peb64.processHeap.HeapFlags
  • peb.processHeap.ForceFlags & peb64.processHeap.ForceFlags

隐藏进程
现象：隐藏调试器进程，在任务管理器里面枚举不到进程
场合：枚举进程，然后对这个进程进行一大堆检测
注释：隐藏进程和伪装进程二者开一即可

保护进程
现象：保护调试器进程，允许OB权限过滤，
场合：通过查询调试器特征信息来反调试就可以使用这个功能 (比如搜索调试器特征码、线程调试句柄等等)

伪装调试器
现象：伪装调试器进程的(路径、名称、父进程ID)伪装成explorer进程
场合：通过枚举进程当前目录下的文件来检测是否有调试器运行
注释：隐藏进程和伪装进程二者开一即可

伪装父进程
现象：被调试进程的父进程ID，改为explorer.exe，如果没有此进程则改成4(内核进程)  
场合：通过判断自身进程的父进程ID是否为explorer.exe，是否是其他进程创建的来反调试

隐藏句柄表
注释：防止通过枚举句柄查询或者其他操作进行反调试

保护调试寄存器
  • NtQueryInformationThread
    • ThreadWow64Context(获取Wow64线程环境)

  • NtSetInformationThread
    • ThreadWow64Context(设置Wow64线程环境)

  • NtGetContextThread(获取64线程环境)
  • NtSetContextThread(设置64线程环境)

现象：只要是非调试器进程向被调试的进程发起修改获取调试寄存器的操作一律被伪装(偷天换日)
场合：当下不了硬件断点，硬件断点莫名其妙被清除的时候就可以使用

反反调试
  • NtSetInformationThread
    • ThreadHideFromDebugger(隐藏调试端口，脱离调试器)

  • NtClose
    • 检测是否错误句柄，防止关闭错误句柄触发异常
    • 检测是否保护句柄，防止关闭保护句柄触发异常

  • NtDuplicateObject
    • 防止拷贝句柄时触发保护句柄异常

  • NtSystemDebugControl
    • 除了SysDbgGetTriageDump(查询内核调试器)

  • NtQueryInformationProcess
    • ProcessDebugFlags(调试标志)
    • ProcessDebugPort(调试端口)
    • ProcessDebugObjectHandle(调试对象)

  • NtQuerySystemInformation
    • SystemKernelDebuggerInformation(是否开启内核调试)

  • NtQueryObject
    • ObjectTypeInformation(指定对象-DebugObject)
    • ObjectTypesInformation(所有对象-DebugObject)

注释：反反调试是针对于系统全局，除了调试器，其他进程没有办法获取被调试进程的真实状态

显示驱动回显
注释：显示驱动拦截动作信息

过数字签名校验
场合：插件驱动不带签名，请勾选此功能
注释：无需数字签名即可加载驱动程序，会被PG检测

过虚拟机检测
注释：缓解一些检测虚拟机方法

过PatchGuard
场合：开启隐藏进程、反反调试等一些功能
注释：过系统PatchGuard校验，非百分百，蓝屏也是正常的0.0

A：插件没有办法正确加载怎么办？
B：插件使用了DX界面，请在网上下载修复工具修复DX组件

A：插件里面的字体显示有问题怎么办？
B：请安装“微软雅黑”字体文件，msyh.ttc

A：程序检测虚拟机怎么办
B：务必把虚拟机自带的VmTool工具关闭，可以通过配置虚拟机vmx文件实现

OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

A：程序检测调试怎么办
B：开启驱动功能前务必把过驱动签名给开启，插件不带驱动数字签名
OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug

OllyDbg 1.x Plugin SkyOD驱动反反调试插件 - keyishiyong_UltraDebug
调试, OllyDbg, 进程, 调试器, 一款驱动级
UltraDebug免责声明
✅以上内容均来自网友转发或原创，如存在侵权请发送到站方邮件9003554@qq.com处理。
✅The above content is forwarded or original by netizens. If there is infringement, please send the email to the destination 9003554@qq.com handle.

相关帖子
回复 打印

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|Archiver|站点地图|UltraDebug ( 滇ICP备2022002049号-2 滇公网安备 53032102000034号)

GMT+8, 2025-6-21 00:17 , Processed in 0.032320 second(s), 11 queries , Redis On.

Powered by Discuz X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表