-
-
[原创]散谈游戏保护那点事~就从_TP开始入手吧
-
发表于: 2010-12-20 02:37
-
声明：本文只为研究技术,请所有童鞋切勿使用本文之方法做下那天理难容罪恶不舍之坏事。
既是研究游戏保护，那么总要有一个研究对象。本文就以TMD_TP这款游戏保护为例进行分析讲解。请勿对号入座，如有雷同之处。纯属反汇编引擎之错误，不关我的事！
转载请注明出处
关键字：DNF 驱动保护
鉴于最近很多同学找上门来求解这那问题，反正这东西又不是绝密档案，放在我手里大半个月了，还不如放出来让大家一起进步算了。另外都是取之看雪还之看雪罢了。
索性我也就公布一个全套的方案。绝无其他意思，所以还请同道中人嘴下留情。切勿背地使坏！
在正式开篇之前我要感谢看雪ID:十年寒窗 在我最困惑的时候，他给予了最大的帮助！另外还有一位和我同岁的神秘人物也给予了不小的帮助，感谢你们。
废话了半天，正式开始吧。
tmd_TP也就是国内比较流行的游戏D_N*F的游戏保护。
它在ring0层一共HOOK了几个地方和一些其他的工作。来达到保护的目的
下面是简报:
1 2 3 4 5 6 7 8 | .text:010025F0 jz short loc_1002622.text:010025F2 call sub_10022A4.text:010025F7 call ds:[COLOR=magenta]KdDisableDebugger.text:010025FD push offset byte_10022EC.text:01002602 push esi.text:01002603 push offset byte_10022DC.text:01002608 push edi.text:01002609 push dword_100CF24 |
1 2 3 4 5 | .text:01001665 mov al, 0FEh.text:01001667 out 64h, al ; AT Keyboard controller 8042..text:01001667 ; Resend the last transmission.text:01001669 popa.text:0100166A retn |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 | //////////////////////////////////////////////////////////////////////// 名称: Nakd_KiAttachProcess// 功能: My_RecoveryHook_KiAttachProcess的中继函数// 参数: // 返回: //////////////////////////////////////////////////////////////////////static NAKED VOID Nakd_KiAttachProcess(){ __asm { mov edi,edi push ebp mov ebp,esp push ebx push esi mov eax,KiAttachProcessAddress //注意这个是全局变量 BYTE* add eax,7 jmp eax }}//////////////////////////////////////////////////////////////////////// 名称: RecoveryHook_KiAttachProcess// 功能: 解除游戏保护对_KiAttachProcess函数的HOOK(DNF)// 参数: // 返回: 状态//////////////////////////////////////////////////////////////////////NTSTATUS My_RecoveryHook_KiAttachProcess(){ BYTE *KeAttachProcessAddress = NULL; //KeAttachProcess函数地址 BYTE *p; BYTE MovEaxAddress[5] = {0xB8,0,0,0,0}; // BYTE JmpEax[2] = {0xff,0xe0}; KIRQL Irql; //特征码 BYTE Signature1 = 0x56, //p-1 Signature2 = 0x57, //p-2 Signature3 = 0x5F, //p-3 Signature4 = 0x5E, //p+5 Signature5 = 0xE8; //p第一个字节 //获得KeAttachProcess地址,然后通过特征码找到 //KiAttachProcess的地址 KeAttachProcessAddress = (BYTE*)MyGetFunAddress(L"KeAttachProcess"); if (KeAttachProcessAddress == NULL) { KdPrint(("KeAttachProcess地址获取失败\n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //将p指向KeAttachProcess函数开始处 p = KeAttachProcessAddress; while (1) { if ((*(p-1) == Signature1) && (*(p-2) == Signature2) && (*(p+5) == Signature3) && (*(p+6) == Signature4) && (*p == Signature5)) { //定位成功后取地址 KiAttachProcessAddress = *(PULONG)(p+1)+(ULONG)(p+5); break; } //推动指针 p++; } //计算中继函数地址 *(ULONG *)(MovEaxAddress+1)=(ULONG)Nakd_KiAttachProcess; WPOFF(); //清除CR0 //提升IRQL中断级 Irql=KeRaiseIrqlToDpcLevel(); //写入 RtlCopyMemory(KiAttachProcessAddress,MovEaxAddress,5); RtlCopyMemory(KiAttachProcessAddress+5,JmpEax,2); //恢复Irql KeLowerIrql(Irql); WPON(); //恢复CR0 return STATUS_SUCCESS;} |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 | //////////////////////////////////////////////////////////////////////// 名称: My_RecoveryHook_NtReadAndWriteMemory// 功能: 解除游戏保护对NtReadVirtualMemory和// NtWriteVirtualMemory的HOOK// 参数: // 返回: //////////////////////////////////////////////////////////////////////NTSTATUS My_RecoveryHook_NtReadAndWriteMemory(){ BYTE Push1Ch[2] = {0x6a,0x1c}; //0~2字节 BYTE PushAdd[5] = {0x68,0x12,0x34,0x56,0x78}; //NtReadVirtualMemory[物理机] //BYTE PushAdd2[5] = {0x68,0xf0,0x6f,0x4f,0x80}; //NtWriteVirtualMemory[物理机] KIRQL Irql; BYTE *NtReadVirtualMemoryAddress = NULL; //NtReadVirtualMemory的地址 BYTE *NtWriteVirtualMemoryAddress = NULL; //NtWriteVirtualMemory的地址 //从SSDT表中获取NtReadVirtualMemory函数地址 NtReadVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0xBA); if (NtReadVirtualMemoryAddress == NULL) { KdPrint(("NtReadVirtualMemory函数地址获取失败! \n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //从SSDT表中获取NtWriteVirtualMemory函数地址 NtWriteVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0x115); if (NtWriteVirtualMemoryAddress == NULL) { KdPrint(("NtWriteVirtualMemory函数地址获取失败! \n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } WPOFF(); //清除CR0 //提升IRQL中断级 Irql=KeRaiseIrqlToDpcLevel(); //写入 RtlCopyMemory(NtReadVirtualMemoryAddress,Push1Ch,2); RtlCopyMemory(NtReadVirtualMemoryAddress+2,PushAdd,5); RtlCopyMemory(NtWriteVirtualMemoryAddress,Push1Ch,2); RtlCopyMemory(NtWriteVirtualMemoryAddress+2,PushAdd,5); //恢复Irql KeLowerIrql(Irql); WPON(); //恢复CR0 return STATUS_SUCCESS;} |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 | //NtOpenProcess用到的全局变量[为了方便堆栈平衡的处理使用全局变量]PEPROCESS processEPROCESS = NULL; //保存访问者的EPROCESSANSI_STRING p_str1,p_str2; //保存进程名称BYTE *ObOpenObjectByPointerAddress = NULL; //ObOpenObjectByPointer的地址BYTE *p_TpHookAddress = NULL; //TP的HOOK函数地址BYTE *p_ReturnAddress = NULL; //返回到的地址BYTE *p_MyHookAddress = NULL; //我们的HOOK函数在哪写入#define DNF_EXE "DNF.exe" //要检索的进程名//////////////////////////////////////////////////////////////////////// 名称: Nakd_NtOpenProcess// 功能: My_RecoveryHook_NtOpenProcess的中继函数// 参数: // 返回: //////////////////////////////////////////////////////////////////////static NAKED VOID Nakd_NtOpenProcess(){ //获得调用者的EPROCESS processEPROCESS = IoGetCurrentProcess(); //将调用者的进程名保存到str1中 RtlInitAnsiString(&p_str1,(ULONG)processEPROCESS+0x174); //将我们要比对的进程名放入str2 RtlInitAnsiString(&p_str2,DNF_EXE); if (RtlCompareString(&p_str1,&p_str2,TRUE) == 0) { //说明是DNF进程访问了这里 __asm { push dword ptr [ebp-38h] push dword ptr [ebp-24h] push p_ReturnAddress mov eax,p_TpHookAddress jmp eax } } else { __asm { push dword ptr [ebp-38h] push dword ptr [ebp-24h] push p_ReturnAddress mov eax,ObOpenObjectByPointerAddress jmp eax } }} //////////////////////////////////////////////////////////////////////// 名称: My_RecoveryHook_NtOpenProcess// 功能: 解除游戏保护对NtOpenProcess的HOOK// 参数: // 返回: 状态//////////////////////////////////////////////////////////////////////NTSTATUS My_RecoveryHook_NtOpenProcess(){ BYTE *NtOpenProcessAddress = NULL; //NtOpenProcess的地址 BYTE *p = NULL; //临时 TOP5CODE *top5code = NULL; //保存5字节内容 BYTE JmpAddress[6] = {0xE9,0,0,0,0,0x90}; KIRQL Irql; //获取NtOpenProcess的地址 NtOpenProcessAddress = (BYTE*)MyGetFunAddress(L"NtOpenProcess"); if (NtOpenProcessAddress == NULL) { KdPrint(("NtOpenProcess地址获取失败\n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //获取ObOpenObjectByPointer的地址 ObOpenObjectByPointerAddress = (BYTE*)MyGetFunAddress(L"ObOpenObjectByPointer"); if (ObOpenObjectByPointerAddress == NULL) { KdPrint(("ObOpenObjectByPointer地址获取失败\n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //将p指向NtOpenProcess函数开始处 p = NtOpenProcessAddress; //用一个无限循环来判断给定的特征码来确定被HOOK位置 while (1) { if ((*(p-7) == 0x50) && (*(p-0xE) == 0x56) && (*(p+0xd) == 0x50) && (*(p+0x16) == 0x3b) && (*(p+0x17) == 0xce) && (*p == 0xE8) && (*(p+5) == 0x8b) && (*(p+6) == 0xf8)) { KdPrint(("%0X \n",(ULONG)p)); break; } //推动指针向前走 p++; } //将top5code指向 p 的当前处 //用以取出 call [地址] 这5字节里面的地址 top5code = (TOP5CODE*)p; p_TpHookAddress = (BYTE*)((ULONG)p+5+top5code->address); //找到我们写入自定义函数的地址 p_MyHookAddress = p-6; //保存调用ObOpenObjectByPointer函数以后的返回地址 p_ReturnAddress = p+5; //将一条JMP Nakd_NtOpenProcess写入到数组中 *(ULONG *)(JmpAddress+1)=(ULONG)Nakd_NtOpenProcess - ((ULONG)p_MyHookAddress+5); WPOFF(); //清除CR0 //提升IRQL中断级 Irql=KeRaiseIrqlToDpcLevel(); //写入 RtlCopyMemory(p_MyHookAddress,JmpAddress,6); //恢复Irql KeLowerIrql(Irql); WPON(); //恢复CR0 return STATUS_SUCCESS;} |
赞赏记录
参与人
雪币
留言
时间
Youlor
为你点赞~
2024-5-31 05:03
伟叔叔
为你点赞~
2024-3-6 02:27
心游尘世外
为你点赞~
2024-1-21 00:14
QinBeast
为你点赞~
2024-1-20 04:01
shinratensei
为你点赞~
2024-1-15 05:24
飘零丶
为你点赞~
2024-1-14 03:40
PLEBFE
为你点赞~
2023-3-14 02:27
704088
为你点赞~
2023-3-2 09:29
|
|
|---|---|
|
|
技术帖果断顶，crazyearl居然和我一样到现在没睡，支持继续放出其他游戏保护的研究，话说也只有游戏研究是比较带劲的~~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
