Можно ли отладить приложение пользователя из земли ядра?

Question

Я отлаживаю какое-то приложение win32, у которого есть множество анти-отладок, я пробовал разные варианты скрытности с / с и IDA, но ни один из них не работает Мне было интересно, можно ли отладить это пользовательское приложение из kernelland, чтобы приложение не знало, что оно отлаживается? если да - какой отладчик я должен использовать?

Answer 1

Отладка кода пользовательского режима из режима ядра, безусловно, возможна, но немного сложнее - например, чтобы сделать перерыв в процессе перед его запуском, необходимо поставить точку останова в коде создания процесса ядра или в NTDLL код пользовательского режима, который выполняется первым. Вы можете попробовать настроить отладчик ядра, используя отладчик ядра, включенный в Средства отладки для Windows .

Вы пытались отладить процесс неинвазивно? WinDbg, также в средствах отладки для окон, включает неинвазивную опцию. Это формально не связано с процессом и не так заметно.

Тем не менее, большинство анти-отладочных пакетов также должны быть в состоянии определить, включен ли на машине отладчик ядра или работает неинвазивный отладчик, такой как windbg. Обнаружение этих вещей не слишком сложно.