[原创开源]Win64反蓝屏【效果不好】

Tesla.Angela

本帖子部分代码由comodo的某工程师提供，特此感谢。

---

PatchGuard引发蓝屏的方式：

1. KeBugCheckEx(0x109,0x0,0x0,0x0,0x7);

复制代码

---

我的反蓝屏方法：
让执行蓝屏的线程在KeBugCheckEx中死循环。这种方法的缺点很严重，就是极耗费CPU（几乎独占一个核心）。

1. 
   
2. PVOID GetFunctionAddr(PCWSTR FunctionName)
   
3. {
   
4.         UNICODE_STRING UniCodeFunctionName;
   
5.         RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
   
6.         return MmGetSystemRoutineAddress( &UniCodeFunctionName );   
   
7. }
   
8. 
   
9. void WPOFFx64()
   
10. {
    
11.         UINT64 cr0=__readcr0();
    
12.         cr0 &= 0xfffffffffffeffff;
    
13.         __writecr0(cr0);
    
14.         _disable();
    
15. }
    
16. 
    
17. void WPONx64()
    
18. {
    
19.         UINT64 cr0=__readcr0();
    
20.         cr0 |= 0x10000;
    
21.         _enable();
    
22.         __writecr0(cr0);
    
23. }
    
24. 
    
25. VOID AntiBugCheck_1() //SUCCESS
    
26. {
    
27.         //KeBugCheckEx
    
28.         //fffff800`03c81f00 48894c2408    mov qword ptr [rsp+8],rcx
    
29.         UCHAR fuckcode[210]={0};
    
30.         KIRQL OldIrql;
    
31.         ULONG jmpcode;
    
32.         //get address
    
33.         PVOID bcaddr = GetFunctionAddr(L"KeBugCheckEx");
    
34.         //set memory
    
35.         memset(fuckcode,0x90,210);
    
36.         memset((PVOID)((UINT64)fuckcode+201),0xE9,1);
    
37.         //calc shellcode
    
38.         jmpcode=(ULONG)((ULONG64)bcaddr-((ULONG64)bcaddr+201)-5);
    
39.         memcpy(fuckcode+202,&jmpcode,4);
    
40.         //patch
    
41.         WPOFFx64();
    
42.         OldIrql = KeRaiseIrqlToDpcLevel();
    
43.         RtlMoveMemory(bcaddr,fuckcode,210);
    
44.         KeLowerIrql(OldIrql);
    
45.         WPONx64();
    
46. }
    

复制代码

Tesla.Angela

其实，可以调用KeWaitForSingleObject来解决永远死循环的问题，而不用NOP+JMP，提示完毕。

testid

好帖子要顶一下。

mysmartid

感谢分享

kk1025

Tesla.Angela 发表于 2011-8-9 13:45
其实，可以调用KeWaitForSingleObject来解决永远死循环的问题，而不用NOP+JMP，提示完毕。 ...

感謝提示

jgyolm

let me kankan

jgyolm

let me kankan