Qmeimei's Blog

「探索一切，攻破一切」

巧妙利用ptehook的特性重建创建调试的调试通道

前情提要前几天不是发了一个利用npt hook重建调试通道的文章：https://bbs.kanxue.com/thread-292825.htm 虽然是老掉牙的技术，但是反响意外的还不错但是这几天在研究创建调试时，发现npt hook一个不可避免的事情，效率太差了，尤其是在虚拟机里。。。创建调试需要hook两个及其高频的函数： NtCreatUserProcess，Dbgk...

Posted by Qmeimei10086 on September 5, 2026

VT调试器原理揭秘--DebugPort转移与重建调试体系

前言目前市面上主要纯在两种基于虚拟化的调试器：走无附加读写，利用驱动直接读写物理内存，不会调用KeStackAttachProcess，自然也不会留下句柄的痕迹，利用vt本身的MFT技术实现单步调试，断点，优点是完全无痕，缺点也很明显，实现难度很大，从反汇编引擎到VT框架，代码量大，自然也会增加不少不稳定性，而且脱离x64dbg，CE之类的主流调试器生态，缺少各种插件，如果是商业使...

Posted by Qmeimei10086 on September 1, 2026

win内核调试原理揭秘5 -- 创建调试

前言前几篇我们分析了windows的调试体系，但是使用的例子是附加调试的，但是创建调试有着些许不同 CreateProcessW 我们来看一个创建进程的函数 1 2 3 4 5 6 7 8 9 10 11 BOOL __stdcall CreateProcessW( LPCWSTR lpApplicationName, LPWSTR lpCommandLin...

Posted by Qmeimei10086 on August 14, 2026

win内核调试原理揭秘4

这次我们来看被调试进程是如何发送调试事件的，以及送大家一个有趣反调试拿异常举例，当发生异常，如果检测到有调试器，会先发给调试器，调用这个函数 DbgkForwardException 分析 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘3

我们来看WaitForDebugEvent和ContinueDebugEvent WaitForDebugEvent 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 ...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘2

ok啊我们继续来分析DbgkpPostFakeProcessCreateMessages和DbgkpSetProcessDebugObject DbgkpPostFakeProcessCreateMessages 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 ...

Posted by Qmeimei10086 on July 12, 2026

win内核调试原理揭秘1

前言身为一名逆向人员，ida，x64dbg几乎是我们无法离开的工具，这些调试器的背后的原理是什么所谓各路五花八门的反调试，调试器检测，无痕hook，线程逃逸又是什么接下来的几篇博客，我将带大家深入内核，探究windows内核里的调试体系一个简单的调试器我们来看一个最简的调试器代码 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 ...

Posted by Qmeimei10086 on July 12, 2026

win内核初探2-无LoadLibrary的DLL注射器样本

前言作为学习windows内核机制的记录，顺便水一篇博客嘻嘻参考https://www.bilibili.com/video/BV1qK6QBrEqH 代码 injector.h 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 #pragma once #include <Windows.h> #incl...

Posted by Qmeimei10086 on April 5, 2026

[PolorisCTF 2026]ezre-又到了我最喜欢的猜猜爆环节

前言观前提示，本题内涵: 逆向特有的无意义的工作量叠加我最喜欢的玄学数据流追踪黑盒函数我直接猜猜爆请配合https://qmeimei10086.github.io/2026/01/19/angr%E7%AC%A6%E5%8F%B7%E6%89%A7%E8%A1%8C%E5%AF%B9%E6%8A%97ollvm/ 食用题目分析拿到手是一个client/s...

Posted by Qmeimei10086 on April 1, 2026

win内核初探1-PTEhook坑总结

前言 CTF已经毁了! 当然这只是个笑话，但是CTF圈子现状确实非常令人担忧，大量的AI使CTF失去了学习知识初衷，为了分数和抢血，CTFer疯了一般往里面砸钱，ctf已然变成财力于AI调教水平的对决这种情况下，真正要毁了的是我，还有那些刚入门的新手所以我希望抽身出来，认真学习一些知识，身为re手，我便挑选了内核作为学习方向 PTEhook 请看： https://xz.aliy...

Posted by Qmeimei10086 on March 28, 2026