ring3硬件断点

Posted 2020-08-26 狂客

4个断点寄存器DR0~DR3用来设置断点的线性地址。

DR6为状态寄存器，DR7为控制寄存器。

DR4和DR5保留。当CR4.DE==1时，访问DR4和DR5产生#UD异常；IF CR4.DE==0，访问DR4和DR5将是对DR6和DR7的访问。

下面这张表非常清楚:
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr0|                 用于一般断点的线性地址                    
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr1|                 用于一般断点的线性地址                    
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr2|                 用于一般断点的线性地址                    
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr3|                 用于一般断点的线性地址                    
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr4|                     保留                                
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr5|                     保留                                
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr6|                              |BBB                     BBB B |
   |                              |TSD                      3 2 1 0 |
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
Dr7|LEN RWE   ...       LEN  RWE     |  G               GL GL GL GL GL |
   | 3   3    ...                    0    0          |  D               EE 33 22 11 00 |
   |－－－－－－－－－－－－－－－|－－－－－－－－－－－－－－－－|
31                                        15                                0 0


L0~L3 局部断点有效位 对应DR0~DR3 发生任务切换时，处理器就会对L0~L3消位 
G0~G3全局断点有效位 对应DR0~DR3 SetThreadContext设置了这几个位也是不奏效的 应该是在实模式下用


LEN0：占两个位，开始于位17，用于控制Dr0的断点长度，可能取值：
00  1字节
01  2字节
10  保留
11  4字节
RWE0：从第15位开始，占两个位，控制Dr0的断点是读、写还是执行断点或是I/O端口断点：
00  只执行
01 写入数据断点
10 I/O端口断点（只用于pentium+，需设置CR4的DE位）
11 读或写数据断点
RWE1～3，LEN1～3分别用于控制Dr1～3的断点方式，含义如上。

要设置断点的话这些信息基本上已经够了。

OD提供的硬件断点功能有DWORD，WORD，BYTE之分，这个是跟内存地址有关。例如：

addr == 4n 时可以设dword断点
addr == 4n + 2 时可以设word断点
addr == 2n+1 时只能byte断点。
比如说在 00401000处，你可以设三种断点
在 00401002处，你只能设word和byte断点
在 00401005处，你只能设byte断点

如果想直接用MOV指令访问DRx寄存器，你需要在实地址模式，系统管理模式（smm）或者在保护模式（CPL设0）。

windows系统中你可以用GetThreadContext或者Wow64GetThreadContext（64位系统）。内核模式下可以用PsGetThreadContext或者捕获异常然后读取。

SetThreadContext设置的线程上下文是对当前线程有效的，那么为什么OD的硬件断点能够对当前进程有效？
因为OD是遍历线程下断，新建线程也下断。

使用SetThreadContext的注意事项：

·获取线程context的时机。载入目标进程发生第一次EXCEPT_BREAKPOINT 时发生在APC中，线程真实的CONTEXT暂时被存放在栈上，当APC结束调用NtContinue返回内核时写回去，如果此时调用SetThreadContext，断点只在APC期间有效，但是我们可以直接改写在栈上的CONTEXT，这样就可以提前设置断点了。

·打开目标进程的权限要够。

只要能使用Drx的断点功能就可以配合SEH、调试API进行一些反跟踪。

下面是一个anti-OD的示例:

 

[cpp] view plain copy

print?

1. // OD 每次获得被调试程序的控制权后 都会把Drx的值设为自己的设定值  
2. // 倘若没有设硬件断点 就是Drx每次都会请0  
3.   
4. #include "stdafx.h"  
5. #include <stdio.h>  
6. #include <windows.h>  
7.   
8. void InitDetect()  
9. {  
10.     CONTEXT context;  
11.     HANDLE hThread = GetCurrentThread();  
12.     context.ContextFlags = CONTEXT_DEBUG_REGISTERS;  
13.     GetThreadContext(hThread, &context);  
14.     context.Dr0 = 0xFF;  
15.     context.Dr1 = 0xFE;  
16.     context.Dr2 = 0xFD;  
17.     context.Dr3 = 0xFC;  
18.       
19.     SetThreadContext(hThread, &context);  
20. }  
21.   
22. // 只针对OD 其他调试器未验证 微软的调试器就无效  
23. // anti OD断点   
24. BOOL IsDebuged()  
25. {  
26.     CONTEXT context;  
27.     HANDLE hThread = GetCurrentThread();  
28.     context.ContextFlags = CONTEXT_DEBUG_REGISTERS;  
29.     GetThreadContext(hThread, &context);  
30.   
31.     printf("Dr0:%x\\n", context.Dr0);  
32.     printf("Dr1:%x\\n", context.Dr1);  
33.     printf("Dr2:%x\\n", context.Dr2);  
34.     if (context.Dr0 != 0xFF || context.Dr1 != 0xFE || context.Dr2 != 0xFD)  
35.     {  
36.         return TRUE;  
37.     }  
38.     return FALSE;  
39. }  

// OD 每次获得被调试程序的控制权后 都会把Drx的值设为自己的设定值
// 倘若没有设硬件断点 就是Drx每次都会请0

#include "stdafx.h"
#include <stdio.h>
#include <windows.h>

void InitDetect()
{
	CONTEXT context;
	HANDLE hThread = GetCurrentThread();
	context.ContextFlags = CONTEXT_DEBUG_REGISTERS;
	GetThreadContext(hThread, &context);
	context.Dr0 = 0xFF;
	context.Dr1 = 0xFE;
	context.Dr2 = 0xFD;
	context.Dr3 = 0xFC;
	
	SetThreadContext(hThread, &context);
}

// 只针对OD 其他调试器未验证 微软的调试器就无效
// anti OD断点 
BOOL IsDebuged()
{
	CONTEXT context;
	HANDLE hThread = GetCurrentThread();
	context.ContextFlags = CONTEXT_DEBUG_REGISTERS;
	GetThreadContext(hThread, &context);

	printf("Dr0:%x\\n", context.Dr0);
	printf("Dr1:%x\\n", context.Dr1);
	printf("Dr2:%x\\n", context.Dr2);
	if (context.Dr0 != 0xFF || context.Dr1 != 0xFE || context.Dr2 != 0xFD)
	{
		return TRUE;
	}
	return FALSE;
}

 

jpg改rar