https://blog.qife122.com/tags/%E5%AE%89%E5%85%A8%E5%86%85%E6%A0%B8%E8%B0%83%E8%AF%95/ Recent content in 安全内核调试 on 办公AI智能小助手 Hugo zh-cn qife Fri, 19 Sep 2025 18:24:44 +0800 https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8livecloudkd%E8%BF%9B%E8%A1%8C%E5%AE%89%E5%85%A8%E5%86%85%E6%A0%B8%E7%A0%94%E7%A9%B6%E7%9A%84%E5%AE%9E%E7%94%A8%E6%8C%87%E5%8D%97/ Fri, 19 Sep 2025 18:24:44 +0800 https://blog.qife122.com/p/%E4%BD%BF%E7%94%A8livecloudkd%E8%BF%9B%E8%A1%8C%E5%AE%89%E5%85%A8%E5%86%85%E6%A0%B8%E7%A0%94%E7%A9%B6%E7%9A%84%E5%AE%9E%E7%94%A8%E6%8C%87%E5%8D%97/ <h1 id="使用livecloudkd进行安全内核研究">使用LiveCloudKd进行安全内核研究</h1> <p>假设您想要研究安全内核。您听说过虚拟机监控程序（hypervisor）和VTL1，并希望亲自查看，而静态分析往往不够用。您需要一个调试器。</p> <p>您立即遇到了一个问题：无法调试安全内核。或者安全进程。或者任何在VTL1中运行的内容。当然，您可以调试虚拟机监控程序，并通过痛苦的物理内存分析以及记忆大量偏移量和字节模式，可以找到安全内核并从那里开始工作。这正是Francisco Falcon（当时来自Quarkslab）几个月前调试隔离用户模式（IUM）进程（也称为安全进程）所做的。他在这里发表了他的工作。他的过程令人印象深刻，但难以复制，因为虚拟机监控程序二进制文件不附带公共符号，并且偏移量和结构在构建之间会发生变化，因此您必须为每个单独的构建找到正确的版本。</p>