|
[求助]接近崩溃的边缘~
发上来,我试试。。。。 |
|
[求助]一款游戏。怎么才能知道他用了什么保护?或者反外挂??
没测试过64位。有可能不支持。 |
|
[转帖]Free Microsoft Ebooks
楼主真勤快,英语真好,顶一个 |
|
[求助]用OD打开某加壳软件,OD自动退出,求大概
无码,无图,神一样的问题。 大概:加载某个dll,异常了。 解决: bp LoadLibraryA,一个一个的断下来,直到OD异常,就可以直到导致OD异常的最后的那个dll名字了 |
|
[计划中止]《安全人员面试宝典》(暂定名)征集面试题
我勒个去,第一次抢到沙发。。 |
|
[计划中止]《安全人员面试宝典》(暂定名)征集面试题
难道是沙发。。。。 |
|
[求助]区分16位和32 位的exe
一切尽在pe头 |
|
[求助]ollyice的一个小问题
od插件问题。。。。有2个插件足矣(Strong,script)其他都可以删除了。 |
|
|
|
[求助]一款游戏。怎么才能知道他用了什么保护?或者反外挂??
早期的保护系统最牛X的当属韩国的NP,不过,现在国内的保护系统,进过这些年的发展,也都不容小嘘了。 现在的保护系统基本都具备了下面技术特点: 1,对Game.exe的Crc校验,清断点,清内存断点,破坏PE头,破解IAT,破解重定位表等等。 2,3环繁琐的检测系统,检测系统API,检测模块,检测堆栈,检测模块, 然后,把检测结果加密发送给Server。 而且,检测的代码和加密算法都vm处理了。 3,Hook驱动,SSDT,IAT,EAT,inline。 对NtOpenProcess, NtCreateProcess, NtOpenThread,NtQueryObject等等处理。 而且,搞几个时钟不停的检测驱动服务状态。 另外,NP还搞了几个SSDT表。 【常见的保护系统有哪些?】 1,Apex: · 北京顶点唯峰科技有限公司 · 识别:网游的客户端目录中如果有 ACDC.dat 文件,那么可以确定有apex保护。 其中,关键的2个驱动保护文件: wydsken.sys wyqk.sys · 实例: 晴空物语,新骑士,刀剑英雄2,完美的很多游戏。 · 在选择角色之前,OD随便附加,调试。 2,Apollo: · 识别:ApolloUpdater.exe 驱动apollo.sys · 实例:露娜Online。 · 简单的调试方法: 1,开游戏 2,打开Process Explorer在system属性,线程内挂起apollo.sys 3,用Process Explorer kill掉ApolloGuardian.exe 4,用XueTr.exe还原shadow ssdt里面所有hook 5,用XueTr.exe还原NtReadVirtualMomory,NtWriteVritualMemory,NtOpenProcess 6,用rookit unhooker还原ApolloGuardian-->的hook (这步可以不用) 7,用PsNull3结束所有ApolloCT线程 8,可以用OD附加。 3,Hackshield: · 识别:HS调用的驱动是EagleNT.sys. HS对驱动的 NtReadVirtualMemory,NtOpenThread,NtOpenProcess, NtClose,KeReleaseInStackQueuedSpinLockFromDpcLevel, 对以上函数Hook了。 · 实例:名将三国 · 简单的调试方法: bp LoadLibraryA 当调用到EHSvc.dll。 也可以找到HS的启动过程。 找到HS启动的Call之后,屏蔽其启动方法: A,在启动Call之前看看是否有状态变量判断,直接强跳就行。 B,在启动HS的Call之后,返回值为0,然后直接跳转到游戏CreateGame那里。 4,HP · 识别:太明显了。 · 实例:征途2. · 暂时没有下到客户端,不清楚情况。 5,NP · GameGuad,启动直接看到了。 · 韩国的游戏差不多都加了,尤其是大作。 · 简单的思路提示: 1,OD加载,然后下CreateFileA,改掉加载NP的GameRes文件的文件名。 2,忽略异常。 3,把NTOpenprocess在SSDT里的服务号换掉, 在进程里设置陷阱,防止一个 inline inject 就可以了只要没用NP SDK加密封包的都可以这么干。 6,TP · 水太深,会抓人。 7,XTrap · 台湾搞鬼Online。 · xueTr还原Hook,StrongOD直接可以附加。 8,ZP · 52pojie网站有很多视频教程。 |
|
[求助]一款游戏。怎么才能知道他用了什么保护?或者反外挂??
如果没有相应的保护系统目录,那可能是小公司的保护系统,不是常见的保护系统。 常见的保护系统都有目录的。除了,Apex,这个也很常见,看看有没有文件 ACDC.dat,如果有那么就是了。 很多游戏公司都会自己开发一个驱动,仅仅一个文件或者几个文件来保护。 这种通常一个xueTr,就可以让你OD附加成功。 |
|
[原创]看雪论坛刷Kx程序
你这个只能对单个网址刷新, 哥们,不如,用我的:http://bbs.pediy.com/showthread.php?t=170937&highlight= 可以设置很多网址同时刷新,可以刷看雪,猫扑啊, 而且还可以定时刷。 |
|
|
|
[求助]一款游戏。怎么才能知道他用了什么保护?或者反外挂??
这个哈士奇很漂亮,赞一个 |
|
游戏多开掉线怎么回事?
是不是有安博士? |
|
[求助]鼠标移到上面产生对话框,怎么下端点
所有关于消息拦截的事情:一个通用的办法就是 77D186EA > /8B75 0C mov esi, dword ptr [ebp+C] 77D186ED . |85F6 test esi, esi 77D186EF . |74 0C je short 77D186FD 77D186F1 . |6A 00 push 0 77D186F3 . |FF75 08 push dword ptr [ebp+8] 77D186F6 . |E8 E0FFFFFF call 77D186DB 77D186FB . |8906 mov dword ptr [esi], eax 77D186FD > |6A 01 push 1 77D186FF . |FF75 08 push dword ptr [ebp+8] 77D18702 . |E8 D4FFFFFF call 77D186DB 77D18707 . |E9 B0030000 jmp 77D18ABC 77D1870C $ |55 push ebp 77D1870D . |8BEC mov ebp, esp 77D1870F . |56 push esi 77D18710 . |57 push edi 77D18711 . |53 push ebx 77D18712 . |68 CDABBADC push DCBAABCD 77D18717 . |56 push esi 77D18718 . |FF75 18 push dword ptr [ebp+18] 77D1871B . |FF75 14 push dword ptr [ebp+14] 77D1871E . |FF75 10 push dword ptr [ebp+10] 77D18721 . |FF75 0C push dword ptr [ebp+C] 77D18724 . |64:A1 1800000>mov eax, dword ptr fs:[18] 77D1872A . |8088 B40F0000>or byte ptr [eax+FB4], 1 77D18731 . |FF55 08 call dword ptr [ebp+8] ; 【重要】User32提交消息到进程处理 77D18734 . |64:8B0D 18000>mov ecx, dword ptr fs:[18] 77D1873B . |80A1 B40F0000>and byte ptr [ecx+FB4], 0 77D18742 . |817C24 04 CDA>cmp dword ptr [esp+4], DCBAABCD 77D1874A . |0F85 607C0200 jnz 77D403B0 77D18750 > |83C4 08 add esp, 8 77D18753 . |5B pop ebx 77D18754 . |5F pop edi 77D18755 . |5E pop esi 77D18756 . |5D pop ebp 77D18757 . |C2 1400 retn 14 在这里下条件断点,指定窗口句柄。注意是条件断点,可以马上定位i到该消息,主进程是如何处理的。 也就是找到处理函数。 77D18731 . |FF55 08 call dword ptr [ebp+8] ; 【重要】User32提交消息到进程处 因为大家都知道的,消息传递sendmessage,postmessage等等消息进去,最后都在上面的那个位置转入到程序的处理函数。 |
|
[求助]一款游戏。怎么才能知道他用了什么保护?或者反外挂??
驱动级保护系统:侧重于反调试,无非就SSDT,驱动级的IAT,eat,inline,调试端口清0,搞个时钟不停的检测。一个一个的去检查,干掉。难点是检查的代码通常被VM了。 壳的保护:代码校验,调试端口,检查Hook,检查模块间的长跳,检查不合法的模块。所有的这些检查都不可能是一直在运行,都是在时钟做定时检查。想办法去找到那个时钟,停掉它。下内存断,硬件读取断通常可以定位到检查的Code的关键位置。另外壳也会加vm,而且破坏pe头,破坏iat,需要一格一格的修复。 3环的反外挂,就是游戏进程自己的检测:通常检测堆栈,因为挂总是要调用游戏本事的一些Call,检查堆栈通常可以找到不合理的模块调用返回值。 封包挂肯定需要hook,send,recv,Encrypt,decrpt等等一些函数,游戏Game.exe会对一些关键函数做crc验证。等等各种反外挂的方法千奇百怪的,需要见招拆招,没有一个通用的方法的。 另外, 1,还有游戏服务器的行为检测外挂。所以还需要学习一下AI人工资能的技术。 2,图片验证。这个需要研究ocr技术。 很多,很多,我很菜,楼下继续。。。。。。。。。 |
操作理由
RANk
{{ user_info.golds == '' ? 0 : user_info.golds }}
雪币
{{ experience }}
课程经验
{{ score }}
学习收益
{{study_duration_fmt}}
学习时长
基本信息
荣誉称号:
{{ honorary_title }}
能力排名:
No.{{ rank_num }}
等 级:
LV{{ rank_lv-100 }}
活跃值:
在线值:
浏览人数:{{ visits }}
最近活跃:{{ last_active_time }}
注册时间:{{ user_info.create_date_jsonfmt }}
勋章
兑换勋章
证书
证书查询 >
能力值