|
|
|---|---|
|
|
.text:01001EBD call ds:IoGetCurrentProcess ；得到调用者的eprocess
.text:01001EC3 mov [ebp+pEpro], eax .text:01001EC6 push [ebp+pEpro] ; pEpro .text:01001EC9 call EprocessChk ；非常关键的比对函数 .text:01001ECE movzx eax, al .text:01001ED1 test eax, eax .text:01001ED3 jz short loc_1001EDA .text:01001ED5 jmp loc_1001FC7 ;返回1的话 直接放行 请问楼主这是用IDA分析得嘛，tessafe.dll加了VMP,我用IDA分析就是一大堆一大堆的数据啊 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=cvcvxk;793595]3字节没那么不和谐，另外TP的DeviceIoControl好像没啥用吧，话说不是用int XX通信么~
有图~  [/QUOTE]------------------------------ 这个大大的图里面有一个【勾魂催眠.pdf】。。真是佩服。。五体投地。。 大家一起来找碴。。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
曾经改过一个wrk，发现过一段时间之后会报非法模块，似乎做了特征扫描的。无利益，未深究
 空了XX一下KdSendPacket KdRecivePacket 
|
|
|
|
