KEPaboo - Neutralizzare le tecniche anti-debugging di KEPServerEX

Panoramica

KEPaboo è un'utilità che neutralizza le tecniche anti-debugging utilizzate da KEPServerEX per impedire alle persone di eseguire il debug del proprio codice. Non è un problema di sicurezza ed è stato testato sulla versione 6.12.361.0 (febbraio 2023) su Windows 10 a 64 bit.

Utilizzo

Scarica i binari di KEPaboo dalla sezione Releases ed eseguilo come Amministratore per registrarlo come Debugger di KEPServerEX tramite Image File Execution Options. In questo modo, KEPaboo può avviarsi automaticamente quando viene lanciato KEPServerEx.

Quando avvii il servizio KEPServerEx, KEPaboo agisce come un piccolo livello proxy che esegue le seguenti operazioni:

• Avvia il processo server_runtime.exe ed esegue il debug
• Effettua l'hook di NtSetInformationThread e NtQueryInformationProcess modificando la Export Address Table di ntdll
• Attende un evento di debug generato da un'istruzione INT 2D e applica una patch al codice per ripristinare il flusso di esecuzione previsto
• Si scollega dal processo server, permettendoti di collegare il tuo debugger preferito
• Attende fino alla terminazione del processo server

Per annullare la registrazione di KEPaboo senza riavviare, eseguilo nuovamente come Amministratore: rileverà di essere stato registrato in precedenza e si rimuoverà.

Nota che la modifica al registro è volatile, il che significa che scomparirà dopo un riavvio. Se vuoi utilizzare di nuovo KEPaboo, dovrai rieseguirlo.

Compilazione e debug

Clona il repository con:

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

Puoi aprire la soluzione Visual Studio KEPaboo.sln o compilarla da riga di comando con:

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

Usa la configurazione debug, collega un debugger a KEPaboo.exe. Dovresti vedere gli output di debug nella finestra della console del debugger.

Autori

• Axel '0vercl0k' Souchet