KEPaboo - Neutraliser les techniques anti-débogage de KEPServerEX

Aperçu

KEPaboo est un utilitaire qui neutralise les techniques anti-débogage utilisées par KEPServerEX pour empêcher les gens de déboguer leur code. Il ne s'agit pas d'un problème de sécurité, et il a été testé sur la version 6.12.361.0 (février 2023) sous Windows 10 64 bits.

Utilisation

Téléchargez les binaires de KEPaboo depuis la section Releases et exécutez-le en tant qu'Administrateur pour l'enregistrer comme Debugger de KEPServerEX via les Image File Execution Options. Ainsi, KEPaboo peut démarrer automatiquement lorsque KEPServerEx est lancé.

Lorsque vous démarrez le service KEPServerEx, KEPaboo agit comme une petite couche proxy qui effectue les tâches suivantes :

• Démarre le processus server_runtime.exe et le débogue
• Hooke NtSetInformationThread et NtQueryInformationProcess en modifiant l'Export Address Table de ntdll
• Écoute un événement de débogage généré par une instruction INT 2D, et patche le code pour restaurer le flux d'exécution attendu
• Se détache du processus serveur, vous permettant d'attacher votre débogueur préféré
• Attend jusqu'à ce que le processus serveur se termine

Pour désenregistrer KEPaboo sans redémarrer, exécutez-le à nouveau en tant qu'Administrateur, et il détectera qu'il a été précédemment enregistré et se supprimera lui-même.

Notez que la modification du registre est volatile, ce qui signifie qu'elle disparaîtra après un redémarrage. Si vous souhaitez utiliser KEPaboo à nouveau, vous devrez le réexécuter.

Compilation et débogage

Clonez le dépôt avec :

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

Vous pouvez ouvrir la solution Visual Studio KEPaboo.sln ou la compiler via la ligne de commande avec :

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

Utilisez la configuration debug, attachez un débogueur à KEPaboo.exe. Vous devriez voir les sorties de débogage dans la fenêtre de console du débogueur.

Auteurs

• Axel '0vercl0k' Souchet