完全过TP源码（转）

最新推荐文章于 2022-08-12 13:34:38 发布
最新推荐文章于 2022-08-12 13:34:38 发布
阅读量3.9k 收藏 7
点赞数 1
分类专栏： 驱动学习
标 题: 【原创】散谈游戏保护那点事~就从_TP开始入手吧
作 者: crazyearl
时 间: 2010-12-20,02:37:22
转载链 接: http://bbs.pediy.com/showthread.php?t=126802

声明：本文只为研究技术,请所有童鞋切勿使用本文之方法做下那天理难容罪恶不舍之坏事。
         既是研究游戏保护，那么总要有一个研究对象。本文就以TMD_TP这款游戏保护为例进行分析讲解。请勿对号入座，如有雷同之处。纯属反汇编引擎之错误，不关我的事！
        关键字：DNF 驱动保护
        鉴于最近很多同学找上门来求解这那问题，反正这东西又不是绝密档案，放在我手里大半个月了，还不如放出来让大家一起进步算了。另外都是取之看雪还之看雪罢了。
索性我也就公布一个全套的方案。绝无其他意思，所以还请同道中人嘴下留情。切勿背地使坏！

        在正式开篇之前我要感谢看雪ID:十年寒窗 在我最困惑的时候，他给予了最大的帮助！另外还有一位和我同岁的神秘人物也给予了不小的帮助，感谢你们。

        废话了半天，正式开始吧。
tmd_TP也就是国内比较流行的游戏D_N*F的游戏保护。
它在ring0层一共HOOK了几个地方和一些其他的工作。来达到保护的目的
下面是简报:


复制代码
  1. NtOpenThread //防止调试器在它体内创建线程
  2. NtOpenProcess //防止OD等在进程列表看到它
  3. KiAttachProcess //防止其他软件附加它
  4. NtReadVirtualMemory //防止别人读取它的内存
  5. NtWriteVirtualMemory //防止别人在它的内存里面乱写乱画
  6. KDCOM.dll:KdReceivePacket //这两个是COM串口的接受和发送数据
  7. KDCOM.dll:KdSendPacket //主要用来方式别人双机调试


使用了KdDisableDebugger来禁用双机调试
代码:
复制代码
  1. .text:010025F0 jz short loc_1002622
  2. .text:010025F2 call sub_10022A4
  3. .text:010025F7 call ds:KdDisableDebugger
  4. .text:010025FD push offset byte_10022EC
  5. .text:01002602 push esi
  6. .text:01002603 push offset byte_10022DC
  7. .text:01002608 push edi
  8. .text:01002609 push dword_100CF24

并对debugport进行了疯狂的清零操作
甚至还包括EPROCESS+70\+74\+78等几处位置


处理的手段通常都是向64端口写入FE导致计算机被重启
代码:
复制代码
  1. .text:01001665 mov al, 0FEh
  2. .text:01001667 out 64h, al ; AT Keyboard controller 8042.
  3. .text:01001667 ; Resend the last transmission
  4. .text:01001669 popa
  5. .text:0100166A retn

下面简单看下他关键的几个HOOK：
KiAttachProcess  


NtReadVirtualMemory  


NtWriteVirtualMemory  


NtOpenThread


NtOpenProcess





引用:其中，前3个直接恢复即可。
第4个有监视，直接恢复即刻重启
第5个和ring3有通信，直接恢复1分钟内SX非法模块  
根据上面的分析，下面给出相应的解决方案
1.直接恢复 第1、2、3处HOOK
2.绕过4、5处HOOK
3.将debugport清零的内核线程干掉
4.恢复硬件断点
但是要有一个先后的逻辑顺序
因为内核有一个线程负责监视几个地方，必须要先干掉它。
但是这个内容我写在了处理debugport清零的一起，也就是第3步。所以大家在照搬源码的时候
注意代码执行次序

先从简单的工作讲起，恢复1、2、3处的HOOK
KiAttachProcess的处理
代码:
复制代码
  1. //
  2. // 名称: Nakd_KiAttachProcess
  3. // 功能: My_RecoveryHook_KiAttachProcess的中继函数
  4. // 参数:
  5. // 返回:
  6. //
  7. static NAKED VOID Nakd_KiAttachProcess()
  8. {
  9. __asm
  10. {
  11. mov edi,edi
  12. push ebp
  13. mov ebp,esp
  14. push ebx
  15. push esi
  16. mov eax,KiAttachProcessAddress //注意这个是全局变量 BYTE*
  17. add eax,7
  18. jmp eax
  19. }
  20. }
  21. //
  22. // 名称: RecoveryHook_KiAttachProcess
  23. // 功能: 解除游戏保护对_KiAttachProcess函数的HOOK(DNF)
  24. // 参数:
  25. // 返回: 状态
  26. //
  27. NTSTATUS My_RecoveryHook_KiAttachProcess()
  28. {
  29. BYTE *KeAttachProcessAddress = NULL; //KeAttachProcess函数地址
  30. BYTE *p;
  31. BYTE MovEaxAddress[5] = {0xB8,0,0,0,0}; //
  32. BYTE JmpEax[2] = {0xff,0xe0};
  33. KIRQL Irql;
  34. //特征码
  35. BYTE Signature1 = 0x56, //p-1
  36. Signature2 = 0x57, //p-2
  37. Signature3 = 0x5F, //p-3
  38. Signature4 = 0x5E, //p+5
  39. Signature5 = 0xE8; //p第一个字节
  41. //获得KeAttachProcess地址,然后通过特征码找到
  42. //KiAttachProcess的地址
  43. KeAttachProcessAddress = (BYTE*)MyGetFunAddress(L"KeAttachProcess");
  44. if (KeAttachProcessAddress == NULL)
  45. {
  46. KdPrint(("KeAttachProcess地址获取失败\n"));
  47. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  48. }
  49. //将p指向KeAttachProcess函数开始处
  50. p = KeAttachProcessAddress;
  51. while (1)
  52. {
  53. if ((*(p-1) == Signature1) &&
  54. (*(p-2) == Signature2) &&
  55. (*(p+5) == Signature3) &&
  56. (*(p+6) == Signature4) &&
  57. (*p == Signature5))
  58. {
  59. //定位成功后取地址
  60. KiAttachProcessAddress = *(PULONG)(p+1)+(ULONG)(p+5);
  61. break;
  62. }
  64. //推动指针
  65. p++;
  66. }
  68. //计算中继函数地址
  69. *(ULONG *)(MovEaxAddress+1)=(ULONG)Nakd_KiAttachProcess;
  71. WPOFF(); //清除CR0
  72. //提升IRQL中断级
  73. Irql=KeRaiseIrqlToDpcLevel();
  74. //写入
  75. RtlCopyMemory(KiAttachProcessAddress,MovEaxAddress,5);
  76. RtlCopyMemory(KiAttachProcessAddress+5,JmpEax,2);
  77. //恢复Irql
  78. KeLowerIrql(Irql);
  79. WPON(); //恢复CR0
  81. return STATUS_SUCCESS;
  82. }

NtReadVirtualMemory和
NtWriteVirtualMemory的处理
注意这里，我对他们俩开头的第2句PUSH的处理
我直接写入了push 0x78563412
大家可以根据自己的地址来硬编码一次。
或者干脆这样使用

代码:
复制代码
  1. //
  2. // 名称: My_RecoveryHook_NtReadAndWriteMemory
  3. // 功能: 解除游戏保护对NtReadVirtualMemory和
  4. // NtWriteVirtualMemory的HOOK
  5. // 参数:
  6. // 返回:
  7. //
  8. NTSTATUS My_RecoveryHook_NtReadAndWriteMemory()
  9. {
  10. BYTE Push1Ch[2] = {0x6a,0x1c}; //0~2字节
  11. BYTE PushAdd[5] = {0x68,0x12,0x34,0x56,0x78}; //NtReadVirtualMemory[物理机]
  12. //BYTE PushAdd2[5] = {0x68,0xf0,0x6f,0x4f,0x80}; //NtWriteVirtualMemory[物理机]
  13. KIRQL Irql;
  14. BYTE *NtReadVirtualMemoryAddress = NULL; //NtReadVirtualMemory的地址
  15. BYTE *NtWriteVirtualMemoryAddress = NULL; //NtWriteVirtualMemory的地址
  17. //从SSDT表中获取NtReadVirtualMemory函数地址
  18. NtReadVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0xBA);
  19. if (NtReadVirtualMemoryAddress == NULL)
  20. {
  21. KdPrint(("NtReadVirtualMemory函数地址获取失败! \n"));
  22. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  23. }
  24. //从SSDT表中获取NtWriteVirtualMemory函数地址
  25. NtWriteVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0x115);
  26. if (NtWriteVirtualMemoryAddress == NULL)
  27. {
  28. KdPrint(("NtWriteVirtualMemory函数地址获取失败! \n"));
  29. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  30. }
  32. WPOFF(); //清除CR0
  33. //提升IRQL中断级
  34. Irql=KeRaiseIrqlToDpcLevel();
  35. //写入
  36. RtlCopyMemory(NtReadVirtualMemoryAddress,Push1Ch,2);
  37. RtlCopyMemory(NtReadVirtualMemoryAddress+2,PushAdd,5);
  39. RtlCopyMemory(NtWriteVirtualMemoryAddress,Push1Ch,2);
  40. RtlCopyMemory(NtWriteVirtualMemoryAddress+2,PushAdd,5);
  41. //恢复Irql
  42. KeLowerIrql(Irql);
  43. WPON(); //恢复CR0
  45. return STATUS_SUCCESS;
  46. }

好了，下面来处理
NtOpenProcess和
NtOpenThread
这两个函数的处理上不能太鲁莽了。
手法要风骚一点细腻一点了
介于篇幅的原因，我只贴出来前者的处理方法，后者雷同
细微之处大家自行修改。我总不能真的给你方法又给你工具。眼看着自己变成教唆犯


代码:
复制代码
  1. //NtOpenProcess用到的全局变量[为了方便堆栈平衡的处理使用全局变量]
  2. PEPROCESS processEPROCESS = NULL; //保存访问者的EPROCESS
  3. ANSI_STRING p_str1,p_str2; //保存进程名称
  4. BYTE *ObOpenObjectByPointerAddress = NULL; //ObOpenObjectByPointer的地址
  5. BYTE *p_TpHookAddress = NULL; //TP的HOOK函数地址
  6. BYTE *p_ReturnAddress = NULL; //返回到的地址
  7. BYTE *p_MyHookAddress = NULL; //我们的HOOK函数在哪写入
  8. #define DNF_EXE "DNF.exe" //要检索的进程名
  9. //
  10. // 名称: Nakd_NtOpenProcess
  11. // 功能: My_RecoveryHook_NtOpenProcess的中继函数
  12. // 参数:
  13. // 返回:
  14. //
  15. static NAKED VOID Nakd_NtOpenProcess()
  16. {
  17. //获得调用者的EPROCESS
  18. processEPROCESS = IoGetCurrentProcess();
  19. //将调用者的进程名保存到str1中
  20. RtlInitAnsiString(&p_str1,(ULONG)processEPROCESS+0x174);
  21. //将我们要比对的进程名放入str2
  22. RtlInitAnsiString(&p_str2,DNF_EXE);
  23. if (RtlCompareString(&p_str1,&p_str2,TRUE) == 0)
  24. {
  25. //说明是DNF进程访问了这里
  26. __asm
  27. {
  28. push dword ptr [ebp-38h]
  29. push dword ptr [ebp-24h]
  30. push p_ReturnAddress
  31. mov eax,p_TpHookAddress
  32. jmp eax
  33. }
  34. }
  35. else
  36. {
  37. __asm
  38. {
  39. push dword ptr [ebp-38h]
  40. push dword ptr [ebp-24h]
  41. push p_ReturnAddress
  42. mov eax,ObOpenObjectByPointerAddress
  43. jmp eax
  44. }
  45. }
  46. }
  48. //
  49. // 名称: My_RecoveryHook_NtOpenProcess
  50. // 功能: 解除游戏保护对NtOpenProcess的HOOK
  51. // 参数:
  52. // 返回: 状态
  53. //
  54. NTSTATUS My_RecoveryHook_NtOpenProcess()
  55. {
  56. BYTE *NtOpenProcessAddress = NULL; //NtOpenProcess的地址
  57. BYTE *p = NULL; //临时
  58. TOP5CODE *top5code = NULL; //保存5字节内容
  59. BYTE JmpAddress[6] = {0xE9,0,0,0,0,0x90};
  60. KIRQL Irql;
  62. //获取NtOpenProcess的地址
  63. NtOpenProcessAddress = (BYTE*)MyGetFunAddress(L"NtOpenProcess");
  64. if (NtOpenProcessAddress == NULL)
  65. {
  66. KdPrint(("NtOpenProcess地址获取失败\n"));
  67. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  68. }
  69. //获取ObOpenObjectByPointer的地址
  70. ObOpenObjectByPointerAddress = (BYTE*)MyGetFunAddress(L"ObOpenObjectByPointer");
  71. if (ObOpenObjectByPointerAddress == NULL)
  72. {
  73. KdPrint(("ObOpenObjectByPointer地址获取失败\n"));
  74. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  75. }
  77. //将p指向NtOpenProcess函数开始处
  78. p = NtOpenProcessAddress;
  79. //用一个无限循环来判断给定的特征码来确定被HOOK位置
  80. while (1)
  81. {
  82. if ((*(p-7) == 0x50) &&
  83. (*(p-0xE) == 0x56) &&
  84. (*(p+0xd) == 0x50) &&
  85. (*(p+0x16) == 0x3b) &&
  86. (*(p+0x17) == 0xce) &&
  87. (*p == 0xE8) &&
  88. (*(p+5) == 0x8b) &&
  89. (*(p+6) == 0xf8))
  90. {
  91. KdPrint(("%0X \n",(ULONG)p));
  92. break;
  93. }
  94. //推动指针向前走
  95. p++;
  96. }
  98. //将top5code指向 p 的当前处
  99. //用以取出 call [地址] 这5字节里面的地址
  100. top5code = (TOP5CODE*)p;
  101. p_TpHookAddress = (BYTE*)((ULONG)p+5+top5code->address);
  103. //找到我们写入自定义函数的地址
  104. p_MyHookAddress = p-6;
  105. //保存调用ObOpenObjectByPointer函数以后的返回地址
  106. p_ReturnAddress = p+5;
  108. //将一条JMP Nakd_NtOpenProcess写入到数组中
  109. *(ULONG *)(JmpAddress+1)=(ULONG)Nakd_NtOpenProcess - ((ULONG)p_MyHookAddress+5);
  111. WPOFF(); //清除CR0
  112. //提升IRQL中断级
  113. Irql=KeRaiseIrqlToDpcLevel();
  114. //写入
  115. RtlCopyMemory(p_MyHookAddress,JmpAddress,6);
  116. //恢复Irql
  117. KeLowerIrql(Irql);
  118. WPON(); //恢复CR0
  120. return STATUS_SUCCESS;
  121. }

处理之后:

简而言之其原理就是，任何人调用了NtOpenProcess的时候会先进入
Nakd_NtOpenProcess函数，我们判断。如果是游戏进程访问的话，就有可能是验证之类的
我们转到它自己的函数里面。让它保持与ring3层的通信。否则的话，嘿嘿……

接下来是第3步处理debugport清零的这块了。
我想绝大多数人关心的都是这里了
网络上能搜多到的办法几乎都失效了
有办法的人又不肯放出来，急眼了就自己想了个土办法
虽然不那么时尚。但是绝对的奏效。
由于代码凌乱不堪，简单说下其原理。
我们定位内核模块TxxxSxxx.sys的首地址
然后根据特征码遍历整个模块找到我们需要的地方，然后干掉他们。
那么我们又如何能够通过人工的判断出来到底是哪里在作怪呢
利用syser或Start SoftICE对EPROCESS+BC处设置断点。就可以一层一层的追溯上去了
到底如何用他们，我想大家自己多花点时间在看雪和GOOGLE或者BAIDU上面是不会吃亏的。
由于ZwQuerySystemInformation函数的使用非常繁琐。而且篇幅有限。所以我只给出关键代码，至于这个函数如何使用。大家可以自己在搜索引擎找“枚举内核模块”
代码:
复制代码
  1. //
  2. // 名称: MyEnumKernelModule
  3. // 功能: 枚举内核模块
  4. // 参数: str:内核模块名称
  5. // moduleadd:该模块地址[传出]
  6. // modulesie:该模块大小[传出]
  7. // 返回:
  8. //
  9. NTSTATUS MyEnumKernelModule(IN CHAR* str,OUT ULONG *moduleadd,OUT ULONG *modulesie)
  10. {
  11. NTSTATUS status = STATUS_SUCCESS;
  12. ULONG n = 0;
  13. ULONG i = 0;
  14. PSYSTEM_MODULE_INFORMATION_ENTRY module = NULL;
  15. PVOID pbuftmp = NULL;
  16. ANSI_STRING ModuleName1,ModuleName2;
  17. BOOLEAN tlgstst= FALSE; //如果找到了指定模块则设置为TRUE
  19. //利用11号功能枚举内核模块
  20. status = ZwQuerySystemInformation(11, &n, 0, &n);
  22. //申请内存
  23. pbuftmp = ExAllocatePool(NonPagedPool, n);
  25. //再次执行,将枚举结果放到指定的内存区域
  26. status = ZwQuerySystemInformation(11, pbuftmp, n, NULL);
  28. module = (PSYSTEM_MODULE_INFORMATION_ENTRY)((PULONG )pbuftmp + 1 );
  30. //初始化字符串
  31. RtlInitAnsiString(&ModuleName1,str);
  32. //
  33. n = *((PULONG)pbuftmp );
  34. for ( i = 0; i < n; i++ )
  35. {
  36. RtlInitAnsiString(&ModuleName2,&module.ImageName);
  37. //DbgPrint("%d\t0x%08X 0x%08X %s\n",module.LoadOrderIndex,module.Base,module.Size,module.ImageName);
  39. if (RtlCompareString(&ModuleName1,&ModuleName2,TRUE) == 0)
  40. {
  41. DbgPrint("MyEnumKernelModule:%s:%0X \n",ModuleName2.Buffer,module.Base);
  42. *moduleadd = module.Base;
  43. *modulesie = module.Size;
  44. tlgstst = TRUE;
  45. break;
  46. }
  47. }
  48. ExFreePool(pbuftmp);
  49. if tlgstst == FALSE)
  50. {
  51. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  52. }
  53. return status;
  54. }
  56. //
  57. // 名称: My_Recovery_Debugport
  58. // 功能: 恢复游戏对debugport的清零操作
  59. // 参数:
  60. // 返回:
  61. //
  62. NTSTATUS My_Recovery_Debugport()
  63. {
  64. NTSTATUS stats;
  65. BYTE *sd1 = NULL,*sd2 = NULL,*pd = NULL;
  66. ULONG ModuleSize,ModuleAddress,i,number = 0;
  67. BYTE *p;
  68. KIRQL Irql;
  69. BYTE C390[2] = {0xc3,0x90};
  71. //获取指定的内核模块地址和字节数
  72. stats = MyEnumKernelModule("\\??\\c:\\windows\\system32\\tessafe.sys",&ModuleAddress,&ModuleSize);
  73. if (stats == FAILED_TO_OBTAIN_FUNCTION_ADDRESSES)
  74. {
  75. return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;
  76. }
  77. KdPrint(("Address:%0X Sie:%d \n",ModuleAddress,ModuleSize));
  78. //特征码
  79. /* sd1特征
  80. p-1:18 p-2:87 p-3:DB p-4:33 p-5:07
  81. p-6:03 p :33 p+1:C0 p+7:3B p+8:D8
  82. sd2特征
  83. p-1:07 p-2:87 p-3:c0 p-4:33 p+14:89
  84. p+15:1c p+16:38
  85. */
  87. //将P指向内核模块开始处
  88. p = (BYTE*)ModuleAddress + 20;
  89. for (i = 0; i < ModuleSize - 20; i++,p++)
  90. {
  91. //sd1
  92. if ((*(p-1) == 0x18) &&
  93. (*(p-2) == 0x87) &&
  94. (*(p-3) == 0xDB) &&
  95. (*(p-4) == 0x33) &&
  96. (*(p-5) == 0x07) &&
  97. (*(p-6) == 0x03) &&
  98. (*p == 0x33) &&
  99. (*(p+1) == 0xC0) &&
  100. (*(p+7) == 0x3B) &&
  101. (*(p+8) == 0xD8) )
  102. {
  103. KdPrint(("--SD1 -- %0X \n",(ULONG)p));
  104. sd1 = p;
  105. number+=1; //记录已经获取一个特征
  106. }
  107. //sd2
  108. if ((*(p-1) == 0x07) &&
  109. (*(p-2) == 0x87) &&
  110. (*(p-3) == 0xC0) &&
  111. (*(p-4) == 0x33) &&
  112. (*(p+14)== 0x89) &&
  113. (*(p+15)== 0x1C) &&
  114. (*(p+16)== 0x38) &&
  115. (*p == 0xA1))
  116. {
  117. KdPrint(("--SD2 -- %0X \n",(ULONG)p));
  118. sd2 = p;
  119. number+=1; //记录已经获取一个特征
  120. }
  121. //pd
  122. if ((*(p-2) == 0xE3) &&
  123. (*(p-3) == 0xC1) &&
  124. (*(p-7) == 0xF3) &&
  125. (*(p-8) == 0x33) &&
  126. (*(p-10)== 0xEB) &&
  127. (*(p-11)== 0xC1) &&
  128. (*(p+1) == 0xF3) &&
  129. (*(p+2) == 0x42) &&
  130. (*(p+3) == 0x3B) &&
  131. (*(p+4) == 0xD1) &&
  132. (*p == 0x33))
  133. {
  134. KdPrint(("--PD -- %0X \n",(ULONG)p));
  135. pd = p;
  136. number+=1; //记录已经获取一个特征
  137. }
  138. if (number >= 3)
  139. {
  140. KdPrint(("特征 %d ---退出\n",number));
  141. break;
  142. }
  143. }
  145. //首先干掉监视函数
  146. while (1)
  147. {
  148. if ((*(pd-1) == 0xcc) && (*(pd-2) == 0xcc))
  149. {
  150. KdPrint(("pd首地址:%0X \n",(ULONG)pd));
  151. WPOFF(); //清除CR0
  152. //提升IRQL中断级
  153. Irql=KeRaiseIrqlToDpcLevel();
  154. //写入
  155. RtlCopyMemory(pd,C390,2);
  156. //恢复Irql
  157. KeLowerIrql(Irql);
  158. WPON(); //恢复CR0
  159. break;
  160. }
  161. pd--;
  162. }
  163. //干掉2个SD
  164. while (1)
  165. {
  166. if ((*(sd1-1) == 0xcc) && (*(sd1-2) == 0xcc))
  167. {
  168. KdPrint(("sd1首地址:%0X \n",(ULONG)sd1));
  169. WPOFF(); //清除CR0
  170. //提升IRQL中断级
  171. Irql=KeRaiseIrqlToDpcLevel();
  172. //写入
  173. RtlCopyMemory(sd1,C390,2);
  174. //恢复Irql
  175. KeLowerIrql(Irql);
  176. WPON(); //恢复CR0
  177. break;
  178. }
  179. sd1--;
  180. }
  181. while (1)
  182. {
  183. if ((*(sd2-1) == 0xcc) && (*(sd2-2) == 0xcc))
  184. {
  185. KdPrint(("sd2首地址:%0X \n",(ULONG)sd2));
  186. WPOFF(); //清除CR0
  187. //提升IRQL中断级
  188. Irql=KeRaiseIrqlToDpcLevel();
  189. //写入
  190. RtlCopyMemory(sd2,C390,2);
  191. //恢复Irql
  192. KeLowerIrql(Irql);
  193. WPON(); //恢复CR0
  194. break;
  195. }
  196. sd2--;
  197. }
  199. return STATUS_SUCCESS;
  200. }







共 条评分
回复
举报
 
分享到 淘江湖 新浪 QQ微博 QQ空间 开心 人人 豆瓣 网易微博 百度 鲜果 白社会 飞信
 
在线 那个谁

UID：23

  • 注册时间2013-05-25
  • 最后登录2013-10-26
  • 在线时间182小时
访问TA的空间 加好友 用道具
总版主

只看该作者 沙发   发表于: 10-11
最后，处理一下硬件断点就可以了
这里我们使用到了SSDT HOOK
分别HOOK了 SSDT 表中索引为 0xD5和0x55的函数。由于这里比较简单
我想10个人有9个人懂得SSDT HOOK的。所以直接给出源码，不做原理分析了


代码:
复制代码
//处理硬件断点时
ULONG uNtSetContextThreadAddress;
ULONG uNtGetContextThreadAddress;
ULONG TenNtSetContextThread,
TenNtGetContextThread;
//
// 名称: _MyNtGetThreadContext
// 功能: 两个SSDT HOOK伪造函数的中继函数
// 参数:
// 返回:
//
static NAKED NTSTATUS Nakd_NtGetThreadContext(HANDLE hThread, PCONTEXT pContext)
{
__asm
{
jmp dword ptr[TenNtGetContextThread]
}
}
static NAKED NTSTATUS Nakd_NtSetThreadContext(HANDLE hThread, PCONTEXT pContext)
{
__asm
{
jmp dword ptr[TenNtSetContextThread]
}
}
//
// 名称: MyNtGetThreadContext && MyNtSetThreadContext
// 功能: NtGetThreadContext与NtSetThreadContext函数被SSDT HOOK的伪造函数
// 参数:
// 返回:
//
NTSTATUS MyNtGetThreadContext(HANDLE hThread, PCONTEXT pContext)
{
if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) ) {
return Nakd_NtGetThreadContext(hThread, pContext);
}
return STATUS_UNSUCCESSFUL;
}
NTSTATUS MyNtSetThreadContext(HANDLE hThread, PCONTEXT pContext)
{
if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) )
{
return Nakd_NtSetThreadContext(hThread, pContext);
}
//DbgPrint("Dr7:%08X\n", pContext->Dr7);
if ( pContext->Dr7 == 0x101 )
{
return Nakd_NtSetThreadContext(hThread, pContext);
} return STATUS_UNSUCCESSFUL;
} // //
名称: My_Recovery_HardwareBreakpoint
// 功能: 通过对set与get进行SSDT HOOK来恢复硬件断点
// 参数:
//
返回: //
NTSTATUS My_Recovery_HardwareBreakpoint()
{
KIRQL Irql;
//获取地址
uNtSetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0xD5 * 4;
uNtGetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0x55 * 4;
TenNtSetContextThread = *(ULONG*)uNtSetContextThreadAddress;
TenNtGetContextThread = *(ULONG*)uNtGetContextThreadAddress;
KdPrint(("Set地址:%0X\n",TenNtSetContextThread));
KdPrint(("Get地址:%0X\n",TenNtGetContextThread));
KdPrint(("Process:%0X \n",(ULONG)p_MyHookAddress));
KdPrint(("Thread:%0X \n",(ULONG)t_MyHookAddress));
WPOFF();
//清除CR0 //提升IRQL中断级 Irql=KeRaiseIrqlToDpcLevel();
//完成SSDT HOOK *(ULONG*)uNtGetContextThreadAddress = (ULONG)MyNtGetThreadContext;
*(ULONG*)uNtSetContextThreadAddress = (ULONG)MyNtSetThreadContext;
//恢复Irql KeLowerIrql(Irql); WPON(); //恢复CR0 return STATUS_UNSUCCESSFUL; }
另外还有一些功能型的函数一并给出，省的大家迷糊

我也算服务到位了，再看上面代码迷糊的时候。看这里找找
看看有没有能用到的，或者翻一下我以往的帖子。里面应该有

代码:
复制代码
//保存5字节代码的结构
#pragma pack(1)
typedef struct _TOP5CODE
{
UCHAR instruction; //指令
ULONG address; //地址
}TOP5CODE,*PTOP5CODE;
#pragma pack( )
//ssdt表结构
typedef struct _ServiceDescriptorTable {
PVOID ServiceTableBase; //System Service Dispatch Table 的基地址
PVOID ServiceCounterTable;
//包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。
unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目。
PVOID ParamTableBase; //包含每个系统服务参数字节数表的基地址-系统服务参数表
}*PServiceDescriptorTable;
//由SSDT索引号获取当前函数地址
//NtOpenProcess [[KeServiceDescriptorTable]+0x7A*4]
extern PServiceDescriptorTable KeServiceDescriptorTable;
//
// 名称: MyGetFunAddress
// 功能: 获取函数地址
// 参数: 函数名称字符串指针
// 返回: 函数地址
//
ULONG MyGetFunAddress( IN PCWSTR FunctionName)
{
UNICODE_STRING UniCodeFunctionName;
RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName );
}
//
// 名称: myGetCurrentAddress
// 功能: 获取SSDT表中指定函数的当前地址
// 参数: index:指定函数在表中的索引号
// 返回: 地址
//
ULONG myGetCurrentAddress(IN ULONG index)
{
ULONG SSDT_Cur_Addr;
__asm
{
push ebx
push eax
mov ebx,KeServiceDescriptorTable
mov ebx,[ebx]
mov eax,index
shl eax,2
add ebx,eax
mov ebx,[ebx]
mov SSDT_Cur_Addr,ebx
pop eax
pop ebx
}
return SSDT_Cur_Addr;
}
VOID WPOFF()
{
__asm
{
cli
mov eax,cr0
and eax,not 10000h
mov cr0,eax
}
}
VOID WPON()
{
__asm
{
mov eax,cr0
or eax,10000h
mov cr0,eax
sti
}
}

记在最后面的话：大家要善用搜索引擎(建议学习google hacking技巧)，勤做笔记 
ccx_john
关注
  • 1
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
过Tp让OD与CE附加源码（附驱动源码）
08-04
过Tp让OD与CE附加源码（附驱动源码）
易语言过TP保护源码
05-17
过TP保护源码，不非法 10分绝对值
过TP保护
09-18 2639
TP 是国内腾讯游戏一款比较流行的驱动级保护程序. 负责保护腾讯每款游戏不被修改破坏， 也许大家也是研究腾讯游戏的爱好者,对腾讯的游戏都有过这样的体会例如OD与CE无法进行如以下操作： 无法附加进程, 无法打开进程, 游戏进程被隐藏无法在工具中查看到, 内存无法读取代码 内存修改后游戏掉线 无法双机进行调试 出现SX非法模块提示 ` 其实以上说的这么多限制 都是因为TP保护造成的.其实这些东西研究了很久后,发现其实就是黑色老大常说的APIHOOK这方面. 7%32E1F)%...
书写php源程序的视图,tp6源码解析-第二天,ThinkPHP6编译模板流程详解,ThinkPHP6模板源码详解...
weixin_29732787的博客
03-19 610
TP6源码解析,ThinkPHP6模板编译流程详解前言:刚开始写博客。如果觉得本篇文章对您有所帮助。点个赞再走也不迟模板编译流程，大概是:先获取到View类实例(依赖注入也好，通过助手函数也好)使用View编译方法fetch或display。都会通过engine方法获取到当前的模板驱动把模板以及要编译的数据传入到驱动中对应的display方法或fetch方法display和fetch差不多(个人感...
TP5开源微信小程序商城源码+附安装文档
rethj的博客
08-12 1800
thinkphp 5.1框架全开源商城小程序源码，代替了手机端的APP电脑端的独立网站，无需下载，触手可及。1.源码部署自己服务器，全部数据自己掌握；2.持续更新升级；3.支持后台修改小程序端同步生效；4.带安装搭建教程，同步更新；5.支持自定义个人中心部分功能；6.支持小程序内页DIY；7.支持PC端宣传网站版权自定义；8.支持商家管理手机端。......
DSShop单店铺TP5框架B2C开源商城源码
10-19
DSShop是基于ThinkPHP框架开发的单店铺商城系统，全面支持PC、WAP、微信等终端设备，为企业用户设计适应整个业务模式的解决方案,完全可以满足运营需要。 网站功能包含：网站设置、帐号同步、上传设置、权限设置、...
DSShop单店铺TP5框架B2C开源商城源码 v1.3
10-07
DSShop是基于ThinkPHP框架开发的单店铺商城系统，全面支持PC、WAP、微信等终端设备，为企业用户设计适应整个业务模式的解决方案,完全可以满足运营需要。 网站功能包含：网站设置、帐
DSShop单店铺TP5框架B2C开源商城源码 v1.4
10-07
DSShop是基于ThinkPHP框架开发的单店铺商城系统，全面支持PC、WAP、微信等终端设备，为企业用户设计适应整个业务模式的解决方案,完全可以满足运营需要。 网站功能包含：网站设置、帐
骗子收录网站源码PHP搭建
08-13
4.后端监控完全不用考虑程序加载慢这种问题 安装教程：程序安装教程由于做此程序时本人有急事，没有写引导安装界面 以下是安装教程：请把网站目录设置为：/public目录下运行程序 有技术的可直接把index移动到根目录...
过tp保护源码 过tp源码
12-30
过tp保护，使用vc6.0编译，wdk:7600:16385
WIN7X64过TP驱动源码
11-24
可以过简单的TP游戏，自己放弃的一个版本，具体可以过那些需要自己去测试
全局过TP驱动保护检测
11-29
全局过TP驱动保护检测 过TX保护
过TP源码（汇编）
07-25
过TP源码（汇编）
过TP保护的源码
08-15
源自看雪论坛 采用技术reloadkernel KiFastCallEntry 自己实现调式机制等等 反正当年anti 个tp 或者np hs什么没问题Local_LaoSys.7z. 当然了，现在也仅供学习参考了
tp3.2完整项目
05-15
tp3.2项目源码，全部功能，可以下载学习，tp3.2技术完善，功能强大
TP5.1最新源码（可打包下载）
10-25
tp5源码，由于有时候下载比较慢，就保留了一份源码，你要是不会composer和git就可以使用这份源码
易语言防OD附加
07-22
易语言防OD附加源码,防OD附加,取模块句柄_,取库函数地址_,拷贝内存_,内存属性_,是否为调试模式_
win7 64 过TP 用咱们内部OD附加.rar
09-23
任鸟飞的内部过tp 任鸟飞的内部过tp 任鸟飞的内部过tp 任鸟飞的内部过tp 任鸟飞的内部过tp 任鸟飞的内部过tp 任鸟飞的内部过tp
tp5.1.38 源码
最新发布
05-15
TP5.1.38 是 ThinkPHP 框架的一个版本号，该版本的源码是指该框架的代码的原始文件，其中包含了框架的核心功能实现以及各种扩展功能的实现细节。这些源码文件可以通过下载、克隆或者查看在线文档的方式获取。 TP...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值