KEPaboo - Neutralizar las técnicas anti-depuración de KEPServerEX

Descripción general

KEPaboo es una utilidad que anula las técnicas anti-depuración utilizadas por KEPServerEX para impedir que las personas depuren su código. No es un problema de seguridad, y ha sido probada contra la versión 6.12.361.0 (febrero de 2023) en Windows 10 de 64 bits.

Uso

Descargue los binarios de KEPaboo desde la sección Releases y ejecútelo como Administrador para registrarlo como Debugger de KEPServerEX mediante Image File Execution Options. Al hacerlo, KEPaboo puede iniciarse automáticamente cuando se lanza KEPServerEx.

Cuando inicia el servicio KEPServerEx, KEPaboo actúa como una pequeña capa de proxy que realiza las siguientes tareas:

• Inicia el proceso server_runtime.exe y lo depura
• Engancha NtSetInformationThread y NtQueryInformationProcess modificando la Export Address Table de ntdll
• Escucha un evento de depuración generado por una instrucción INT 2D, y parchea el código para restaurar el flujo de ejecución esperado
• Se desengancha del proceso del servidor, permitiéndole adjuntar su depurador favorito
• Espera hasta que el proceso del servidor finaliza

Para desregistrar KEPaboo sin reiniciar, ejecútelo como Administrador de nuevo, y detectará que fue registrado previamente y se eliminará a sí mismo.

Tenga en cuenta que la modificación del registro es volátil, lo que significa que desaparecerá después de un reinicio. Si desea usar KEPaboo de nuevo, necesitará volver a ejecutarlo.

Compilar y depurar

Clone el repositorio con:

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

Puede abrir la solución de Visual Studio KEPaboo.sln o compilarla desde la línea de comandos con:

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

Use la configuración debug, adjunte un depurador a KEPaboo.exe. Debería ver las salidas de depuración en la ventana de consola del depurador.

Autores

• Axel '0vercl0k' Souchet