再谈Patch int 3 中断例程反调试
上篇文章Patch Intel int 3断点指令的功能中谈到利用int 3反调试方法，今天想更深入的谈谈关于int 3反调试的方法。
在上篇文章中的方法过于简单直接就返回了，这样容易被发现和恢复。我需要的是更加不容易被发现的方法。
我先把内核当中int 3的中断处理例程贴出来：
public _KiTrap03
_KiTrap03 proc
push 0 ; push dummy error code
ENTER_TRAP kit3_a, kit3_t
cmp ds:_PoHiberInProgress, 0
jnz short kit03_01
lock inc ds:_KiHardwareTrigger ; trip hardware analyzer
kit03_01:
mov eax, BREAKPOINT_BREAK
KiTrap03DebugService:
;
; If caller is user mode, we want interrupts back on.
; . all relevent state has already been saved
; . user mode code always runs with ints on
;
; If caller is kernel mode, we want them off!
; . some state still in registers, must prevent races
; . kernel mode code can run with ints off
;
;
; Arguments:
; eax - ServiceClass - which call is to be performed
; ecx - Arg1 - generic first argument
; edx - Arg2 - generic second argument
test dword ptr [ebp]+TsEFlags,EFLAGS_V86_MASK
jnz kit03_30 ; fault occured in V86 mode => Usermode
test word ptr [ebp]+TsSegCs,MODE_MASK
jz kit03_10
cmp word ptr [ebp]+TsSegCs,KGDT_R3_CODE OR RPL_MASK
jne kit03_30
kit03_05:
sti
kit03_10:
;
; Set up exception record and arguments for raising breakpoint exception
;
mov esi, ecx ; ExceptionInfo 2
mov edi, edx ; ExceptionInfo 3
mov edx, eax ; ExceptionInfo 1
mov ebx, [ebp]+TsEip
dec ebx ; (ebx)-> int3 instruction
mov ecx, 3
mov eax, STATUS_BREAKPOINT
call CommonDispatchException ; Never return
kit03_30:
; Check to see if this process is a vdm
mov ebx,PCR[PcPrcbData+PbCurrentThread]
mov ebx,[ebx]+ThApcState+AsProcess
test byte ptr [ebx]+PrVdmFlag,0fh ; is this a vdm process?
jz kit03_05
stdCall _Ki386VdmReflectException_A, <03h>
test ax,0FFFFh
jz Kit03_10
jmp _KiExceptionExit
_KiTrap03 endp
看了上面的代码，我发现把dec ebx这行nop掉也能起到很好的效果，为什么呢？
因为当CPU执行完int 3指令之后，对于原先没有下断点的汇编代码而言，这时的EIP是指向了这个汇编指令第二个字节，这样一来，一条完整的汇编代码被打破，因此要通过dec 减1的方法，向上移动一个字节，这样做可以让调试器停在被下断点的地方，而不是下断点的位置加1的地方。如果没有减1，那么被下断点的地方的指令被打破了，如果不是单字节的指令，下次运行一定会Crash。
不过，我用了更狠的方法让程序直接跑飞掉
---------------------------------------------------------------------
;小汇编之前的正常的代码
804dfb3c 4b dec ebx
804dfb3d b903000000 mov ecx,3
804dfb42 b803000080 mov eax,80000003h
804dfb47 e85af8ffff call nt!CommonDispatchException (804df3a6)
804dfb4c 648b1d24010000 mov ebx,dword ptr fs:[124h]
804dfb53 8b5b44 mov ebx,dword ptr [ebx+44h]
804dfb56 83bb5801000000 cmp dword ptr [ebx+158h],0
---------------------------------------------------------------------
;开始小汇编，我这儿把eip直接加10h，这样调试器就指飞了。当然也可以是其它的代码，反正就是让调试器跑飞。
kd> a 804dfb3c
804dfb3c add ebx, 10
804dfb3f mov ecx,3
804dfb44 mov eax, 80000003
804dfb49 call 804df3a6
kd> u 804dfb3c
nt!KiTrap03+0x9e:
804dfb3c 83c310 add ebx,10h; 加10h了 当然也可以是其它的代码
804dfb3f b903000000 mov ecx,3
804dfb44 b803000080 mov eax,80000003h
804dfb49 e858f8ffff call nt!CommonDispatchException (804df3a6)
---------------------------------------------------------------------
还有一个最直接的方法就是替换掉IDT中断表中的int 3的中断处理例程，指向我们自已的中断处理例程。但是这个方法太明显了。而且还涉及到多核CPU的问题，CPU当中的每个核都会有独立的IDT表，需要全部替换掉。
如果上int 3反调试的最终的效果是：
１. ring3调试器
如果是在ring3层下软件断点，并执行到了，直接跑飞了或程序崩溃了
２. ring0调试器
如果int 3直接返回了，那么在内核调试器就不能break了，有时也会蓝。
