反调试 ValidAccessMask 清零

介绍

ValidAccessMask 是调试权限标志，正常的情况下 ValidAccessMask 的值是 0x1FF000F , 如果 ValidAccessMask 被修改为 0，则系统内的所有调试器都会失效。

手动找 ValidAccessMask

打开 WinDbg , 输入 u NtCreateDebugObject , 这个函数中调用了 DbgkDebugObjectType ：

输入 dp fffff8060ffeb100` 拿到地址中的值：

这是一个 _OBJECT_TYPE 结构体指针，输入 dt _object_type ffffc9040c8aed20 看下它的结构:

继续看 TypeInfo 成员的结构，输入 dt _OBJECT_TYPE_INITIALIZER ffffc9040c8aed20+40

0x1c 偏移处的成员 ValidAccessMask 就是我们要找的东西。

验证

按上面的逻辑，ValidAccessMask 的地址其实就是 0xffffc9040c8aed20 + 0x40 + 0x1c，在 WinDbg 里验证一下：

没毛病~ ，尝试用 WinDbg 修改这个值，把它改成 0：ed ffffc9040c8aed7c 00000000

打开 x64dbg ，随便附加一个进程试一试：

然后把 ValidAccessMask 的值恢复回去：

再次尝试附加进程：

成功！ ????