GhostDebug

GhostDebug est un prototype de débogueur Windows x64 composé d'une DLL de débogage native et d'un client en ligne de commande .NET Framework. Il est destiné au débogage de cibles qui utilisent des contrôles de détection de débogueur.

Pour le contexte sur la conception, voir Développer un débogueur non détecté sur Windows.

Prérequis

• Windows x64
• Visual Studio 2022 avec la charge de travail Développement Desktop en C++
• SDK Windows 10 et l'ensemble d'outils C++ v143
• .NET Framework 4.8 Developer Pack
• Restauration des packages NuGet activée

Compilation

Compilez tous les projets dans Visual Studio.

Utilisation

1. Démarrez le processus cible. TestTarget est fourni comme exemple simple.

2. Ouvrez un terminal dans GhostDebug/GhostDebug-CLI/bin/Release/ et lancez le CLI :

   root@kitploit:~

   .\GhostDebug.exe
   

3. Attachez-vous par ID de processus ou par nom de processus, puis utilisez les commandes interactives :

   root@kitploit:~

   attach <pid/process name>
      Attach to a process.
   
   bp <address>
      Set a breakpoint.
   
   bp <address> <command list>
      Set a breakpoint with commands that are executed automatically when it hits.
   
   cl <address>
      Clear a breakpoint.
   
   g
      Resume execution.
   
   t
      Step into one instruction.
   
   rw <register> <value>
      Queue a value to be written to a register before continuing.
   
   help
      Display the command help.
   

Les adresses peuvent être absolues, relatives au module principal (+1234), relatives à un autre module (ntdll+1234), ou spécifiées par symbole (!function ou kernel32!ExitProcess). Les points d'arrêt peuvent également exécuter des commandes automatiquement, par exemple bp 1234 rw rax 0;g.

Le CLI doit être exécuté depuis le répertoire contenant ghostdebug-core.dll, et la cible et le CLI doivent utiliser la même architecture (x64).