首页
社区
课程
招聘
[原创]某游戏中NtOpenProcess直接恢复重启问题解决
发表于: 2011-2-11 08:21 9752

[原创]某游戏中NtOpenProcess直接恢复重启问题解决

2011-2-11 08:21
9752
首先找到被HOOK的地址,
 
可以看到80597894  是被HOOK 的地址
对这个地址下断点
 
断下来了
(这个图用照相机拍的)
 

对80597894进行判断的地址是 AD2FBFA2 这个函数的开始地址是AD2FBF72
AD2FBFA2 反汇编的内容是:
ad2fbfa2 3b05f42d30ad    cmp     eax,dword ptr ds:[0AD302DF4h]
ad2fbfa8 7419            je      ad2fbfc3
下面进行分析
看看0AD302DF4h的内容是啥
 
[0AD302DF4h]==2cd61e0f
然后在看看被HOOK处的80597894地址的内容
 
分析出来得到是明文比较,判断两者相等否,相等就跳,如果不相等,也就是发现被恢复了就往下执行,修改的方法是在内核中把je      ad2fbfc3  更改成JMP ad2fbfc3  即可跳过其判断的部分这里需要说明的是 AD2FBFA2这个地方时候还有验证呢?我们可以对这个比较的地址再下断点,然后验证。我记得年前是没有的,最近更新了,也就不知道有没有在加判断了,这里我们再分析一下下面几行
 




因此得到


在拿到IDA中找到这个函数头部
 
其中JZ SHORT LOC_1005F93就是刚才的那个判断,跳过这个就行了,把CALL SHUTDOWNCOMPUTER 这个函数 nop也行,然后在直接恢复NtOpenThread即可
ntopenprocess的方法也是一样子的,但ntopenproces这个有个特点,应用程还有一个检测,也就是你还需要给应用程返回一个特定的东西,在把这个检测NOP掉就行了,这个就不具体分析了

对于清零的东西也是一样子的!举一反三吗!
效果图我就不贴了。
关于在实体机上测试的问题,多打印几次,判断好了在改,这样蓝的次数能大大降级!

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
  • 1.jpg (144.26kb,627次下载)
  • 2.jpg (142.38kb,623次下载)
  • 3.jpg (131.75kb,623次下载)
  • 4.jpg (31.85kb,617次下载)
  • 5.jpg (8.02kb,616次下载)
  • 6.jpg (34.07kb,618次下载)
  • 7.png (11.12kb,622次下载)
  • 8.png (3.40kb,622次下载)
  • 9.jpg (38.00kb,625次下载)
收藏
免费 0
支持
分享
最新回复 (7)
雪    币: 284
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
我去类,无泪也分析tp了。O(∩_∩)O~
2011-2-11 08:29
0
雪    币: 270
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
楼主出一片sysdbg的使用教程吧!
2011-2-11 11:22
0
雪    币: 81
活跃值: (25)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
4
挺厉害的…没看懂…学习了…
2011-2-11 12:06
0
雪    币: 485
活跃值: (78)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
5
哪个教程截的图~~~真是无语了又是DXF
2011-2-11 16:59
0
雪    币: 193
活跃值: (64)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
6
自己的视频截图。没有放出视频!!!
2011-2-14 12:51
0
雪    币: 278
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
谢谢分享。syser还使用不来啊
2012-1-20 15:22
0
雪    币: 6
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
老哥,联系不上你只能在你帖子下面留言了,看到加我微信yifeichongtian17
2018-1-29 18:31
0
游客
登录 | 注册 方可回帖
返回
//