Exploit for HyperDbg

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-HYPERDBG-HYPERDBG
![Website](https://raw.githubusercontent.com/HyperDbg/graphics/master/Badges/Link-Website-orange.svg) ![Documentation](https://raw.githubusercontent.com/HyperDbg/graphics/master/Badges/Link-Docs-yellow.svg) ![Doxygen](https://raw.githubusercontent.com/HyperDbg/graphics/master/Badges/Link-Doxygen-lightgreen.svg) ![Published Academic Researches](https://raw.githubusercontent.com/HyperDbg/graphics/master/Badges/Link-Research-pink.svg) ![License](https://raw.githubusercontent.com/HyperDbg/graphics/master/Badges/License-GPLv3-blue.svg)

# HyperDbg Debugger

![HyperDbg Debugger](https://raw.githubusercontent.com/HyperDbg/graphics/master/Art%20Board/HyperDbg-Cat.Circle.Compressed.png)  
**HyperDbg Debugger** — это отладчик с открытым исходным кодом на основе гипервизора для **Windows** (поддержка **Linux** в настоящее время в разработке!) с поддержкой отладки как в пользовательском режиме, так и в режиме ядра (нативной). Он создан для реверс-инжиниринга, фаззинга и продвинутого анализа систем с использованием современных возможностей аппаратной виртуализации и трассировки.

Вы можете следить за **HyperDbg** в **Twitter** или **Mastodon** , чтобы узнавать о новых релизах, или присоединиться к любой из групп HyperDbg, где можно обратиться за помощью по настройке и использованию HyperDbg к разработчикам и энтузиастам реверс-инжиниринга из open-source-сообщества.

  * **Telegram**
  * **Discord**
  * **Matrix**



## Описание

**HyperDbg** построен на основе современных технологий аппаратной виртуализации и предоставляет возможности, выходящие за рамки традиционных отладчиков. Он работает поверх операционной системы, виртуализируя уже запущенную систему с помощью Intel VT-x и расширенных таблиц страниц (EPT). Сочетая виртуализацию с передовыми технологиями трассировки, такими как Intel Processor Trace (Intel PT), **HyperDbg** обеспечивает мощные возможности трассировки и **V** irtual **M** achine **I** ntrospection (**VMI**).

![HyperDbg Debugger](https://assets.kitploit.com/production/public/readmes/3969/c8d84cd80017edf240bd054e0e978d060b7ce2d848b4b41e0e417d0371deb059.png)  


### Основные возможности

**HyperDbg** предоставляет широкий набор расширенных функций отладки, включая несколько видов скрытых хуков на основе EPT. Он может эмулировать аппаратные точки останова по данным для мониторинга чтений, записей и выполнений в заданных диапазонах адресов, оставаясь незаметным как для операционной системы, так и для целевых приложений. В отличие от аппаратных отладочных регистров, эти средства мониторинга не ограничены количеством доступных отладочных регистров или ограничениями по размеру.

Кроме того, **HyperDbg** способен отслеживать выполнение на различных уровнях привилегий, включая переходы из пользовательского режима в режим ядра (например, через системные вызовы, heaven's gate, сбои (faults), исключения и прерывания), из ядра в драйверы устройств и обратно из режима ядра в пользовательский режим, что обеспечивает всесторонний анализ всего потока выполнения.

Кроме того, **HyperDbg** поддерживает хуки системных вызовов, трассировку потока управления с помощью аппаратных средств трассировки и всесторонний мониторинг операций ввода-вывода, включая ввод-вывод с отображением в память (MMIO) и портовый ввод-вывод (PMIO), что позволяет детально анализировать взаимодействие с устройствами и внешними периферийными устройствами.

Помимо этого, **HyperDbg** включает большую коллекцию дополнительных событий, специально предназначенных для реверс-инжиниринга, анализа вредоносных программ и низкоуровневого анализа программ. Полный список поддерживаемых событий и их документацию см. в полном списке возможностей.

**HyperDbg** спроектирован для максимально скрытной работы. Он не использует никаких отладочных API для отладки операционной системы или каких-либо приложений, поэтому классические методы антиотладки не смогут его обнаружить. Он также включает специализированный модуль, предназначенный для повышения его скрытности. Этот модуль отслеживает попытки обнаружить присутствие гипервизора или отладчика и применяет различные методы, чтобы сначала сообщить о таких механизмах обнаружения, а затем смягчить или обойти их. Хотя полная незаметность не может быть гарантирована во всех сценариях, эти функции значительно повышают сложность обнаружения **HyperDbg** , делая существенно более трудным для приложений, упаковщиков, протекторов ПО, вредоносных программ, античит-систем и других механизмов безопасности выявление его присутствия.

### Почему HyperDbg?

HyperDbg сложнее настроить и использовать, а также требует более глубоких знаний о низкоуровневых системах по сравнению с традиционными отладчиками. Тем не менее, он предоставляет два главных преимущества:

  1. **Полный контроль над системой и ОС**  
HyperDbg работает на уровне гипервизора, предоставляя вам мощные возможности, которые просто невозможны с классическими отладчиками. Это позволяет использовать аппаратно-поддерживаемые функции для продвинутых сценариев реверс-инжиниринга и отладки.

  2. **Скрытность и устойчивость к обнаружению**  
Поскольку HyperDbg не полагается на стандартные отладочные API ОС, его в целом гораздо сложнее (хотя и не невозможно) обнаружить. Это делает его отличным выбором при работе против антиотладочных защит.




Эти преимущества открывают совершенно новые техники отладки и реверс-инжиниринга, выходящие за пределы возможностей обычных отладчиков.

## Сборка и установка

Вы можете скачать последние скомпилированные бинарные файлы из **релизов** ; в противном случае, если вы хотите собрать HyperDbg, следует клонировать HyperDbg с флагом `--recursive`.``` git clone --recursive https://github.com/HyperDbg/HyperDbg.git

root@kitploit:~
    
    
    Пожалуйста, посетите **[Build & Install](https://docs.hyperdbg.org/getting-started/build-and-install)** и **[Quick Start](https://docs.hyperdbg.org/getting-started/quick-start)** для получения подробных объяснений о том, как начать работу с **HyperDbg**. Вы также можете обратиться к **[FAQ](https://docs.hyperdbg.org/getting-started/faq)** за дополнительной информацией или, если вы ранее использовали другие нативные отладчики, такие как GDB, LLDB или WinDbg, посмотреть [карту команд](https://hyperdbg.github.io/commands-map).
    
    ## Обучающие материалы
    
    Серия руководств **OpenSecurityTraining2's "Reversing with HyperDbg (Dbg3301)**", доступная на [**сайте OST2**](https://ost2.fyi/Dbg3301) (_предпочтительно_) и [**YouTube**](https://www.youtube.com/playlist?list=PLUFkSN0XLZ-kF1f143wlw8ujlH2A45nZY), является рекомендуемым способом начать работу с HyperDbg и изучить его. Она проведет вас через начальные шаги использования HyperDbg, охватывая основные концепции, принципы и возможности отладки, а также практические примеры и многочисленные методы реверс-инжиниринга, уникальные для HyperDbg.
    
    Если вам интересно разобраться во внутреннем устройстве и архитектуре гипервизоров и HyperDbg, вы можете прочитать руководства [**Hypervisor From Scratch**](https://rayanfam.com/tutorials).
    
    ## Публикации
    
    Если вы используете какой-либо из компонентов **HyperDbg** в своей работе, пожалуйста, рассмотрите возможность цитирования наших статей.
    
    **1. [HyperDbg: Reinventing Hardware-Assisted Debugging (CCS'22)](https://dl.acm.org/doi/abs/10.1145/3548606.3560649)** [[arXiv](https://arxiv.org/abs/2207.05676)]```
    @inproceedings{karvandi2022hyperdbg,
      title={HyperDbg: Reinventing Hardware-Assisted Debugging},
      author={Karvandi, Mohammad Sina and Gholamrezaei, MohammadHosein and Khalaj Monfared, Saleh and Meghdadizanjani, Soroush and Abbassi, Behrooz and Amini, Ali and Mortazavi, Reza and Gorgin, Saeid and Rahmati, Dara and Schwarz, Michael},
      booktitle={Proceedings of the 2022 ACM SIGSAC Conference on Computer and Communications Security},
      pages={1709--1723},
      year={2022}
    }
    

**Другая статья, построенная на основе HyperDbg...**

**2.hwdbg: Debugging Hardware Like Software (EuroSec'25)** [PDF]``` @inproceedings{karvandi2025hwdbg, title={hwdbg: Debugging Hardware Like Software}, author={Karvandi, Mohammad Sina and Meghdadizanjani, Soroush and Monfared, Saleh Khalaj and van der Kouwe, Erik and Slowinska, Asia}, booktitle={Proceedings of the 18th European Workshop on Systems Security}, pages={56--62}, year={2025} }

root@kitploit:~
    
    
    **3. [HyperEvade: противодействие методам анти-отладки и повышение прозрачности во вложенной виртуализации с помощью HyperDbg (DEBT'25)](https://www.jot.fm/contents/issue_2026_01/a8.html)** [[PDF](https://www.jot.fm/issues/issue_2026_01/a8.pdf)]```
    @article{ruytenberg2026hyperevade,
      title={HyperEvade: Countering Anti-Debugging Techniques and Enhancing Transparency in Nested Virtualization using HyperDbg},
      author={Ruytenberg, Bj{\"o}rn and Karvandi, Mohammad Sina},
      journal={Journal of Object Technology},
      volume={25},
      number={1},
      pages={1--3},
      year={2026},
      publisher={Association Internationale pour les Technologies Objets}
    }
    

**4.Digital Hole: обход коммерческих аудио-DRM-решений с помощью DReaMcatcher (EuroSys'26)** [PDF]``` @inproceedings{ruytenberg2026digital, title={Digital Hole: Bypassing Commercial Audio DRM Solutions with DReaMcatcher}, author={Ruytenberg, Bj{"o}rn and Karvandi, Mohammad Sina and Bos, Herbert and van der Kouwe, Erik and Slowinska, Asia}, booktitle={Proceedings of the 21st European Conference on Computer Systems}, pages={484--496}, year={2026} }

root@kitploit:~
    
    
    **5. [TRM: Эффективный фреймворк на основе гипервизора для анализа вредоносных программ и реконструкции памяти (AsiaCCS'26)](https://dl.acm.org/doi/10.1145/3779208.3785293)** [[PDF](https://dl.acm.org/doi/pdf/10.1145/3779208.3785293)]```
    @inproceedings{karvandi2026trm,
      title={TRM: An Efficient Hypervisor-Based Framework For Malware Analysis and Memory Reconstruction},
      author={Karvandi, Mohammad Sina and Meghdadizanjani, Soroush and Arasteh, Sima and Monfared, Saleh Khalaj and Fallah, Mohammad K and Gorgin, Saeid and Lee, Jeong-A and Slowinska, Asia and van der Kouwe, Erik},
      booktitle={Proceedings of the ACM Asia Conference on Computer and Communications Security},
      pages={68--82},
      year={2026}
    }
    

Вы также можете прочитать эту статью — в ней описываются общая архитектура, технические сложности, проектные решения и внутреннее устройство отладчика HyperDbg, эту статью о наших усилиях по обеспечению прозрачности vm-exit, эту статью о поиске ошибок внутри гипервизоров и эту статью о новых методах реверс-инжиниринга, представленных в HyperDbg. Другие статьи, посты и ресурсы доступны в репозитории **awesome** , а в репозитории **slides** представлены слайды презентаций для дальнейшего ознакомления.

## Уникальные возможности

  * Продвинутый отладчик режима ядра на основе гипервизора [ссылка][ссылка][ссылка]
  * Классический EPT-хук (скрытая точка останова) [ссылка][ссылка][ссылка]
  * Инлайн EPT-хук (инлайн-хук) [ссылка][ссылка]
  * Мониторинг памяти на чтение/запись (эмуляция аппаратных регистров отладки без ограничений) [ссылка][ссылка][ссылка]
  * Хук SYSCALL (отключение EFER и обработка #UD) [ссылка][ссылка][ссылка]
  * Хук SYSRET (отключение EFER и обработка #UD) [ссылка][ссылка]
  * Хук и мониторинг CPUID [ссылка][ссылка]
  * Хук и мониторинг RDMSR [ссылка][]



## Как это работает?

Вы можете прочитать о внутреннем устройстве HyperDbg и его возможностях в документации. Ниже приведена общая схема, показывающая, как работает HyperDbg:   


![HyperDbg Design](https://assets.kitploit.com/production/public/readmes/3969/12568d48373c00c36d4d8a82c616b68527334e8ec3062df1c68c5cf7b65d4abc.jpg)  


  


## Скрипты

Вы можете писать свои **скрипты** для автоматизации процесса отладки. **HyperDbg** имеет мощный, быстрый и полностью реализованный на стороне ядра скриптовый движок.

## Участие в разработке

Любой вклад в HyperDbg очень ценится. Мы составили список потенциальных задач, в решение которых вы, возможно, захотите внести свой вклад.

Если вы хотите внести вклад в HyperDbg, пожалуйста, прочитайте Руководство по внесению вклада.

## Лицензия

**HyperDbg** и все его подмодули и репозитории, если не указано иное, лицензированы под лицензией **GPLv3**.

Зависимости лицензированы по собственным лицензиям.