KEPaboo - Neutraliza técnicas anti-debugging do KEPServerEX

Visão geral

KEPaboo é um utilitário que neutraliza as técnicas anti-debugging usadas pelo KEPServerEX para impedir que as pessoas depurem seu código. Não é um problema de segurança, e foi testado na versão 6.12.361.0 (fevereiro de 2023) no Windows 10 64-bit.

Uso

Baixe os binários do KEPaboo na seção Releases e execute-o como Administrador para registrá-lo como Debugger do KEPServerEX via Image File Execution Options. Ao fazer isso, o KEPaboo pode iniciar automaticamente quando o KEPServerEx for lançado.

Quando você inicia o serviço KEPServerEx, o KEPaboo atua como uma pequena camada de proxy que executa as seguintes tarefas:

• Inicia o processo server_runtime.exe e o depura
• Faz hook em NtSetInformationThread e NtQueryInformationProcess modificando a Export Address Table da ntdll
• Aguarda um evento de depuração gerado por uma instrução INT 2D e corrige o código para restaurar o fluxo de execução esperado
• Desanexa-se do processo do servidor, permitindo que você anexe seu depurador favorito
• Aguarda até que o processo do servidor termine

Para desregistrar o KEPaboo sem reiniciar, execute-o como Administrador novamente, e ele detectará que foi registrado anteriormente e se removerá.

Observe que a modificação do registro é volátil, o que significa que ela desaparecerá após uma reinicialização. Se você quiser usar o KEPaboo novamente, precisará executá-lo outra vez.

Compilação e depuração

Clone o repositório com:

(base) > git clone https://github.com/0vercl0k/KEPaboo.git

Você pode abrir a solução do Visual Studio KEPaboo.sln ou compilá-la pela linha de comando com:

(base) KEPaboo>msbuild /p:Configuration=Release src\KEPaboo.sln
Microsoft (R) Build Engine version 16.7.0+b89cb5fde for .NET Framework
Copyright (C) Microsoft Corporation. All rights reserved.

[...]

Build succeeded.
    0 Warning(s)
    0 Error(s)

Time Elapsed 00:00:00.42

Use a configuração debug, anexe um depurador ao KEPaboo.exe. Você deverá ver as saídas de depuração na janela do console do depurador.

Autores

• Axel '0vercl0k' Souchet