反调试 ValidAccessMask 清零

介绍

ValidAccessMask 是调试权限标志,正常的情况下 ValidAccessMask 的值是 0x1FF000F , 如果 ValidAccessMask 被修改为 0,则系统内的所有调试器都会失效。

手动找 ValidAccessMask

打开 WinDbg , 输入 u NtCreateDebugObject , 这个函数中调用了 DbgkDebugObjectType
反调试 ValidAccessMask 清零_第1张图片
输入 dp fffff8060ffeb100` 拿到地址中的值:
反调试 ValidAccessMask 清零_第2张图片

这是一个 _OBJECT_TYPE 结构体指针,输入 dt _object_type ffffc9040c8aed20 看下它的结构:
反调试 ValidAccessMask 清零_第3张图片
继续看 TypeInfo 成员的结构,输入 dt _OBJECT_TYPE_INITIALIZER ffffc9040c8aed20+40
反调试 ValidAccessMask 清零_第4张图片
0x1c 偏移处的成员 ValidAccessMask 就是我们要找的东西。

验证

按上面的逻辑,ValidAccessMask 的地址其实就是 0xffffc9040c8aed20 + 0x40 + 0x1c,在 WinDbg 里验证一下:
反调试 ValidAccessMask 清零_第5张图片
没毛病~ ,尝试用 WinDbg 修改这个值,把它改成 0:ed ffffc9040c8aed7c 00000000
反调试 ValidAccessMask 清零_第6张图片

打开 x64dbg ,随便附加一个进程试一试:
反调试 ValidAccessMask 清零_第7张图片
然后把 ValidAccessMask 的值恢复回去:
反调试 ValidAccessMask 清零_第8张图片

再次尝试附加进程:
反调试 ValidAccessMask 清零_第9张图片
成功!

你可能感兴趣的:(反调试)