PTRACE_TRACEME в челлендже не убивается ни патчем, ни LD_PRELOAD — что я упускаю?

[redis_guru]

Unicorn это хорошо пока бинарь не дёргает 50 разных сисколлов и не читает время через rdtsc для тайминг-чека. Тогда ты неделю пишешь хуки на каждый. Для крякми с HTB патч в радаре проще всего честно.

[coder_vlad]

В итоге сделал так: открыл в radare2, нашёл все три места (два ptrace через syscall и один open на status), запатчил переходы на безусловные. Флаг выпал. Спасибо, проблема была именно в raw syscall мимо LD_PRELOAD.

[sparksre]

gg. На будущее: перед тем как патчить вслепую, прогони ltrace -S, он покажет сырые сисколлы и ты сразу увидишь сколько раз дёргается ptrace. Сэкономит полчаса гадания.

[bruce01]

Сохранил весь тред, лучше любого туториала по антидебагу честно. Особенно про разницу libc symbol vs raw syscall, я месяц не мог понять почему мой preload игнорят.

[highlight]

А есть где почитать про этот rdtsc тайминг-чек подробнее? Первый раз слышу что временем можно отладчик палить.

[weekendghost]

Идея простая: меряешь rdtsc до и после куска кода, под отладкой со степпингом разница в тысячи раз больше. Лечится хуком rdtsc или просто не степпишь, а ставишь хардварные брейки и пролетаешь блок целиком.

[grpcsre]

Возьмите frida и хукните ptrace на уровне ABI, ей вообще пофиг raw syscall это или libc

frida Interceptor цепляется за адрес функции. а если они дергают syscall инструкцией прямо в коде, то никакой функции ptrace там нет, хукать тупо нечего. тебе тогда Stalker с перехватом svc, а это уже не 5 строк жс. так что 'пофиг raw syscall' это слишком оптимистично

[regex4]

@matguyvr, Unicorn ради крякми с тремя флагами это из пушки по воробьям. ОП уже все три проверки нашел, ему пять минут в радаре переходы заnopить, а ты предлагаешь поднимать эмулятор и писать хуки на сисколлы. redis_guru ниже верно про rdtsc сказал, ровно такие штуки и превращают unicorn в недельный проект на пустом месте

[sadatay]

а зачем вообще патчить три места по очереди. поставь бряк на самый первый ptrace, дойди в gdb и глянь куда он реально пишет результат. часто все три проверки сходятся в один флажок в памяти, дернул его один раз и готово, без выковыривания каждой ветки