GhostDebug

GhostDebug — это прототип отладчика для Windows x64, состоящий из нативной отладочной DLL и клиента командной строки на .NET Framework. Он предназначен для отладки целей, использующих проверки обнаружения отладчика.

Подробнее о разработке см. Разработка необнаруживаемого отладчика в Windows.

Требования

• Windows x64
• Visual Studio 2022 с рабочей нагрузкой «Разработка классических приложений на C++»
• Windows 10 SDK и набор инструментов C++ v143
• Пакет разработчика .NET Framework 4.8
• Включено восстановление пакетов NuGet

Сборка

Соберите все проекты в Visual Studio.

Использование

1. Запустите целевой процесс. TestTarget включён в качестве простого примера.

2. Откройте терминал в GhostDebug/GhostDebug-CLI/bin/Release/ и запустите CLI:

   root@kitploit:~

   .\GhostDebug.exe
   

3. Подключитесь по идентификатору процесса или имени процесса, затем используйте интерактивные команды:

   root@kitploit:~

   attach <pid/process name>
      Attach to a process.
   
   bp <address>
      Set a breakpoint.
   
   bp <address> <command list>
      Set a breakpoint with commands that are executed automatically when it hits.
   
   cl <address>
      Clear a breakpoint.
   
   g
      Resume execution.
   
   t
      Step into one instruction.
   
   rw <register> <value>
      Queue a value to be written to a register before continuing.
   
   help
      Display the command help.
   

Адреса могут быть абсолютными, относительными к главному модулю (+1234), относительными к другому модулю (ntdll+1234) или задаваться символом (!function или kernel32!ExitProcess). Точки останова также могут автоматически выполнять команды, например bp 1234 rw rax 0;g.

CLI должен запускаться из каталога, содержащего ghostdebug-core.dll, а целевой процесс и CLI должны использовать одну и ту же архитектуру (x64).