KEPaboo - Neutralisierung der Anti-Debugging-Techniken von KEPServerEX

Überblick

KEPaboo ist ein Werkzeug, das die Anti-Debugging-Techniken von KEPServerEX neutralisiert, die verhindern sollen, dass Personen ihren Code debuggen. Es handelt sich nicht um ein Sicherheitsproblem, und es wurde gegen die Version 6.12.361.0 (Februar 2023) unter Windows 10 64-Bit getestet.

Verwendung

Laden Sie die KEPaboo-Binärdateien aus dem Releases-Bereich herunter und führen Sie sie als Administrator aus, um sie als Debugger von KEPServerEX über Image File Execution Options zu registrieren. Dadurch kann KEPaboo automatisch starten, wenn KEPServerEx gestartet wird.

Wenn Sie den KEPServerEx-Dienst starten, fungiert KEPaboo als kleine Proxy-Schicht, die die folgenden Aufgaben ausführt:

• Startet den Prozess server_runtime.exe und debuggt ihn
• Hookt NtSetInformationThread und NtQueryInformationProcess durch Modifizieren der Export Address Table von ntdll
• Lauscht auf ein Debug-Ereignis, das durch eine INT 2D-Instruktion erzeugt wird, und patcht den Code, um den erwarteten Ausführungsfluss wiederherzustellen
• Trennt sich vom Serverprozess, sodass Sie Ihren bevorzugten Debugger anhängen können
• Wartet, bis der Serverprozess endet

Um KEPaboo ohne Neustart abzumelden, führen Sie es erneut als Administrator aus, und es wird erkennen, dass es zuvor registriert wurde, und sich selbst entfernen.

Beachten Sie, dass die Registry-Änderung flüchtig ist, was bedeutet, dass sie nach einem Neustart verschwindet. Wenn Sie KEPaboo erneut verwenden möchten, müssen Sie es erneut ausführen.

Build und Debug

Klonen Sie das Repository mit:

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

Sie können die Visual Studio-Lösung KEPaboo.sln öffnen oder sie über die Kommandozeile erstellen mit:

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

Verwenden Sie die debug-Konfiguration und hängen Sie einen Debugger an KEPaboo.exe an. Sie sollten Debug-Ausgaben im Konsolenfenster des Debuggers sehen.

Autoren

• Axel '0vercl0k' Souchet