KEPaboo - تحييد تقنيات مكافحة التنقيح في KEPServerEX

نظرة عامة

KEPaboo هي أداة تُبطل تقنيات مكافحة التنقيح التي تستخدمها KEPServerEX لمنع الأشخاص من تنقيح شيفتهم. وهي ليست مشكلة أمنية، وقد تم اختبارها على الإصدار 6.12.361.0 (فبراير 2023) على Windows 10 بنسخة 64-bit.

الاستخدام

قم بتنزيل ملفات KEPaboo التنفيذية من قسم Releases وشغّلها كـ Administrator لتسجيلها كـ Debugger الخاص بـ KEPServerEX عبر Image File Execution Options. وبذلك، يمكن لـ KEPaboo أن تبدأ تلقائيًا عند تشغيل KEPServerEx.

عند بدء خدمة KEPServerEx، تعمل KEPaboo كطبقة وكيل صغيرة تنفذ المهام التالية:

• تبدأ عملية server_runtime.exe وتنقّحها
• تخطف NtSetInformationThread و NtQueryInformationProcess عبر تعديل Export Address Table الخاص بـ ntdll
• تستمع لحدث تنقيح ناتج عن تعليمة INT 2D، وتقوم بترقيع الشيفرة لاستعادة مسار التنفيذ المتوقع
• تنفصل عن عملية الخادم، مما يتيح لك إرفاق مصحح الأخطاء المفضل لديك
• تنتظر حتى تنتهي عملية الخادم

لإلغاء تسجيل KEPaboo دون إعادة التشغيل، شغّلها كـ Administrator مرة أخرى، وستكتشف أنها سُجلت سابقًا وتزيل نفسها.

لاحظ أن تعديل السجل مؤقت، مما يعني أنه سيختفي بعد إعادة التشغيل. إذا أردت استخدام KEPaboo مرة أخرى، ستحتاج إلى إعادة تشغيلها.

البناء والتنقيح

استنسخ المستودع باستخدام:

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

يمكنك فتح حل Visual Studio باسم KEPaboo.sln أو بنائه عبر سطر الأوامر باستخدام:

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

استخدم إعداد debug، وأرفق مصحح أخطاء بـ KEPaboo.exe. يجب أن ترى مخرجات التنقيح في نافذة الطرفية الخاصة بمصحح الأخطاء.

المؤلفون

• Axel '0vercl0k' Souchet