天堂W的Npsc64.des的反调试hook简单分析(一)

扫描完毕，钩子/代码修改： 21

   

挂钩位置                                        钩子类型        当前函数地址                                        挂钩处当前值        挂钩处原始值                当前函数地址所在模块        
libcef.dll: _imp_GetFontData[gdi32.dll]        iat            0x00007FFF25344E40 -> 0x00007FFEFD9B2694                                                D:\LineageW\Engine\Binaries\ThirdParty\CEF3\Win64\libcef.dll        
ntdll.dll: NtGetContextThread (len:1)        inline        0x00007FFF2706CBB0 -> -                            CC                 4C                         // cc是int3，不是真正的hook, 是我们下的断点
ntdll.dll: DbgBreakPoint (len:1)            inline        0x00007FFF2706E880 -> -                            C3                 CC                 
ntdll.dll: DbgUiRemoteBreakin (len:5)        inline        0x00007FFF2709BA10 -> 0x00007FFF27033BA0        E9 8B 81 F9 FF         48 83 EC 28 65         C:\Windows\SYSTEM32\ntdll.dll        
user32.dll: RegisterClassExW (len:7)        inline        0x00007FFF261E72C0 -> 0x00007FFEE61D0478        E9 B3 91 FE BF CC CC         48 83 EC 38 83 39 50                 
user32.dll: CreateWindowExW (len:10)        inline        0x00007FFF261E7720 -> 0x00007FFEE61D0178        E9 53 8A FE BF CC CC CC CC CC         4C 8B DC 48 81 EC 88 00 00 00                 
user32.dll: SetWindowLongW (len:8)            inline        0x00007FFF261F09F0 -> 0x00007FFEE61D0418        E9 23 FA FD BF CC CC CC         45 33 C9 E9 08 00 00 00 // 有可能防止替换窗口消息分发函数
user32.dll: AdjustWindowRectEx (len:5)        inline        0x00007FFF261F60B0 -> 0x00007FFEE61D0358        E9 A3 A2 FD BF         48 89 5C 24 08                 
user32.dll: GetCursorPos (len:5)            inline        0x00007FFF262077C0 -> 0x00007FFEE3090418        E9 53 8C E8 BC         BA 01 00 00 00                 
user32.dll: SetCursor (len:7)                inline        0x00007FFF2620ABA0 -> 0x00007FFEE61D02F8        E9 53 57 FC BF CC CC         48 FF 25 21 84 06 00                 
user32.dll: SetWindowLongA (len:6)            inline        0x00007FFF2620C240 -> 0x00007FFEE61D03B8        E9 73 41 FC BF CC         41 B9 01 00 00 00             // 有可能防止替换窗口消息分发函数    
win32u.dll: NtUserSetWindowPos (len:8)        inline        0x00007FFF248214B0 -> 0x00007FFEE61D0298        E9 E3 ED 9A C1 CC CC CC         4C 8B D1 B8 24 10 00 00                 
win32u.dll: NtUserShowWindow (len:8)        inline        0x00007FFF24821B10 -> 0x00007FFEE61D01D8        E9 C3 E6 9A C1 CC CC CC         4C 8B D1 B8 57 10 00 00                 
win32u.dll: NtUserDestroyWindow (len:8)        inline        0x00007FFF24822370 -> 0x00007FFEE61D0238        E9 C3 DE 9A C1 CC CC CC         4C 8B D1 B8 9A 10 00 00                 
dxgi.dll+0x0000000000004F80 (len:5)            inline        0x00007FFF230A4F80 -> 0x00007FFEE3090178        E9 F3 B1 FE BF         48 89 5C 24 10                 
aticfx64_loader.dll                            inline        模块已经被更改或替换, 请重启电脑后再试                                
audioses.dll+0x000000000000F500 (len:5)        inline        0x00007FFF093DF500 -> 0x00007FFEE30902F8        E9 F3 0D CB D9         40 55 53 56 57                 
audioses.dll+0x00000000000103C0 (len:5)        inline        0x00007FFF093E03C0 -> 0x00007FFEE3090358        E9 93 FF CA D9         40 55 53 56 57                 
audioses.dll+0x00000000000107B0 (len:7)        inline        0x00007FFF093E07B0 -> 0x00007FFEE30903B8        E9 03 FC CA D9 CC CC         48 8B C4 48 89 58 10                 
audioses.dll+0x00000000000112C0 (len:5)        inline        0x00007FFF093E12C0 -> 0x00007FFEE3090298        E9 D3 EF CA D9         48 89 5C 24 20                 
audioses.dll+0x000000000001F320 (len:5)        inline        0x00007FFF093EF320 -> 0x00007FFEE30901D8        E9 B3 0E CA D9         40 53 55 56 57                 
audioses.dll+0x000000000001F5D0 (len:5)        inline        0x00007FFF093EF5D0 -> 0x00007FFEE3090238        E9 63 0C CA D9         48 89 5C 24 18              

1. GameMon.des和GameMon64.des 暂停进程会屋驱动检测到环境异常
2. npggNT64.des 禁止加载即可处理大部分ring3层hook, 而反调试是在 GameMonXX.des 里面
3. 待处理 SetUnhandledExceptionFilter() 和 AddVectoredExceptionHandler() 设置异常函数
4 如果出现 The UE4 crash will... 这种一般是在调试调用频繁非常高的函数的情况下导致数组错误，这种使用CE来调试或者断点调试即可，这种问题不是反调试导致的。

逆向安全收徒中...