⚠️ **NMI中断处理的常见误区与纠正**：许多安全研究者在NMI回调中直接调用栈回溯函数（如RtlWalkFrameChain、RtlCaptureStackBackTrace），这在64位系统下存在风险，因为它们会解析UNWIND_INFO，一旦触发Page Fault即可能导致系统崩溃。正确的做法是利用KPCR获取NMI异常栈地址，解析MACHINE_FRAME结构来获取当前的RIP和RSP，以此进行栈帧信息分析。

⚙️ **NMI中断与栈指针解析机制**：文章详细解释了NMI中断如何映射到IDT表中的特定向量号（通常是2），并通过IST Index找到对应的异常栈指针（如Ist3）。该指针的具体值保存在TSS段中，而TSS段的基地址则存储在KPCR结构体里。通过`__readmsr(IA32_GS_BASE)`可获取KPCR，进而定位到TSS，最终通过`Ist3 - sizeof(MACHINE_FRAME)`获取栈顶的`MACHINE_FRAME`，其中包含了关键的RIP和RSP信息。

🛡️ **基于NMI栈检查的反作弊应用**：作者认为，通过NMI中断检查栈帧信息，特别是判断返回地址是否落在已知模块内，是一种有效的反作弊手段。当检测到返回地址不在任何驱动模块内时，可以推断出存在手动映射的加载驱动（如Kdmapper）或内核shellcode。这种方法对于频繁读取游戏数据的外挂尤其有效，因为中断的触发很容易命中外挂线程。

周旋久 2025-10-14 18:02 上海

看雪论坛作者ID：周旋久

//0x68 bytes (sizeof)struct _KTSS64{    ULONG Reserved0;                                                        //0x0    ULONGLONG Rsp0;                                                         //0x4    ULONGLONG Rsp1;                                                         //0xc    ULONGLONG Rsp2;                                                         //0x14    ULONGLONG Ist[8];                                                       //0x1c    ULONGLONG Reserved1;                                                    //0x5c    USHORT Reserved2;                                                       //0x64    USHORT IoMapBase;                                                       //0x66}; 

struct _KPCR{    union    {        struct _NT_TIB NtTib;                                               //0x0        struct        {            union _KGDTENTRY64* GdtBase;                                    //0x0            struct _KTSS64* TssBase; // <--- TSS                            //0x8            ...        }        ...    }    ...}

typedef struct _MACHINE_FRAME{        UINT64 rip;        UINT64 cs;        UINT64 eflags;        UINT64 rsp;        UINT64 ss;} MACHINE_FRAME, *PMACHINE_FRAME;BOOLEANNmiCallback(_In_ BOOLEAN Handled){        UNREFERENCED_PARAMETER(Handled);        UINT64                 kpcr          = 0;        TASK_STATE_SEGMENT_64* tss           = NULL;        PMACHINE_FRAME         machineFrame  = NULL;                kpcr          = __readmsr(IA32_GS_BASE);// 0xC0000101        tss           = *(TASK_STATE_SEGMENT_64**)(kpcr + KPCR_TSS_BASE_OFFSET);// 0x8        machineFrame = tss->Ist3 - sizeof(MACHINE_FRAME);        {            // 在这里对堆栈检查，比如是否在有效模块内            // 不在的话则认为是内核shellcode            CheckStack(machineFrame->rip,machineFrame->rsp);                    }}

*本文为看雪论坛优秀文章，由 周旋久原创，转载请注明来自看雪社区

看雪·第九届安全开发者峰会（SDC 2025）