过TP保护的DebugPort清零，科普一下

我们知道，DebugPort位于EPROCESS这个结构体中  
不知道啊？去幼儿园向小朋友问  
我这里的偏移是0x0bc，系统不一样，这个偏移值也不一样  
可以用WinDbg查看，开启本地内核调试，输入命令：dt _EPROCESS  
这个不多介绍，详情去网上搜  
另外，DNF.exe会调用NtOpenProcess进行反调试检测  
那么我们不浪费，就地取材，从这里开始入手  
在NtOpenProcess处设置一个钩子，SSDT HOOK相信大多数同学都会  
这里不需要做任何特殊过滤，只打印一些DNF的相关信息  
我给出思路和关键代码：  
ANSI_STRING str1,str2;  
PEPROCESS processEPROCESS;  
 
//将DNF.exe进程名放入str1中  
RtlInitAnsiString(&str1,"DNF.exe");  
 
//获取调用者的EPROCESS  
processEPROCESS = IoGetCurrentProcess();  
 
//将调用者的进程名保存到str2中，我这里进程名偏移是0x174  
RtlInitAnsiString(&str2,(PCSZ)((ULONG)processEPROCESS+0x174));  
 
//根据进程名来判断  
if (RtlCompareString(&str1,&str2,TRUE) == 0)  
{  
  //说明是DNF.exe调用了这里，打印进程信息  
  KdPrint(("DNF.exe的EPROCESS地址为 %x",(ULONG)processEPROCESS));  
  KdPrint(("DNF.exe的DebugPort地址为 %x",(ULONG)processEPROCESS+0x0bc));  
}  
 
//跳转到NtOpenProcess，这里的代码大家自己编写  
 
好了，DNF.exe的DebugPort地址获取到了，那么我们打开内核查看工具  
输入那个地址，看见没有？里面的数值为0，那怎么办呢？  
该我们的内核侦探神器，syser出场了  
热烈欢迎......  
按Ctrl+F12，激活内核调试，这时候速度尽量快点  
比如0xXXXXXXXX是我们DNF.exe的DebugPort地址  
那么我们在那里下内存写入断点  
输入bpm 0xXXXXXXXX w，回车，再按F5，让系统运行起来  
一眨眼的时间，syser断下来了，看到断下来的地址了吗？  
还等什么，赶快把那个清零的地址记下来，然后删除断点，F5继续运行  
接着打开内核工具，反汇编，顺着清零的地址往上找  
看到int 3和mov edi,edi指令了吗？这就是清零的函数头部  
居然还用东西盖住，伪装起来，可恶  
拿刀来，砍掉，咔嚓...  
把mov edi,edi改成nop和retn，0x90C3，  
继续在DebugPort那里下内存写入断点，重复上面的步骤  
再继续在那里下内存写入断点，看到了吗？  
半天都没有断下来，说明已经没有任何代码在那里清0了，OK！  
DebugPort清零一共是2处，就这么简单地过了  
还有一处监视的线程，方法雷同，我就不多贴了  
驱动我上传一下，只过DebugPort清0和监视，就可以恢复几处HOOK了