GhostDebug

GhostDebug é um protótipo de depurador para Windows x64 composto por uma DLL de depuração nativa e um cliente de linha de comando .NET Framework. Ele é destinado à depuração de alvos que usam verificações de detecção de depurador.

Para obter contexto sobre o design, consulte Desenvolvendo um depurador indetectável no Windows.

Requisitos

• Windows x64
• Visual Studio 2022 com a carga de trabalho Desenvolvimento para desktop com C++
• Windows 10 SDK e o conjunto de ferramentas v143 para C++
• .NET Framework 4.8 Developer Pack
• Restauração de pacotes NuGet habilitada

Compilação

Compile todos os projetos no Visual Studio.

Uso

1. Inicie o processo alvo. TestTarget é incluído como um exemplo simples.

2. Abra um terminal em GhostDebug/GhostDebug-CLI/bin/Release/ e inicie o CLI:

   root@kitploit:~

   .\GhostDebug.exe
   

3. Anexe pelo ID do processo ou pelo nome do processo e, em seguida, use os comandos interativos:

   root@kitploit:~

   attach <pid/process name>
      Attach to a process.
   
   bp <address>
      Set a breakpoint.
   
   bp <address> <command list>
      Set a breakpoint with commands that are executed automatically when it hits.
   
   cl <address>
      Clear a breakpoint.
   
   g
      Resume execution.
   
   t
      Step into one instruction.
   
   rw <register> <value>
      Queue a value to be written to a register before continuing.
   
   help
      Display the command help.
   

Os endereços podem ser absolutos, relativos ao módulo principal (+1234), relativos a outro módulo (ntdll+1234) ou especificados por símbolo (!function ou kernel32!ExitProcess). Pontos de interrupção também podem executar comandos automaticamente, por exemplo bp 1234 rw rax 0;g.

O CLI deve ser executado a partir do diretório que contém ghostdebug-core.dll, e o alvo e o CLI devem usar a mesma arquitetura (x64).