有个内存校验，比较SetWindowsHookExA 函数有没有被下CC,和比较SetWindowsHookEx有没有被修改
和HOOK,

77C16EB0 >  8B4424 0C       MOV EAX,DWORD PTR SS:[ESP+C]
77C16EB4    85C0            TEST EAX,EAX
77C16EB6    74 44           JE SHORT msvcrt.77C16EFC
77C16EB8    8B5424 04       MOV EDX,DWORD PTR SS:[ESP+4]
77C16EBC    56              PUSH ESI
77C16EBD    57              PUSH EDI
77C16EBE    8BF2            MOV ESI,EDX
77C16EC0    8B7C24 10       MOV EDI,DWORD PTR SS:[ESP+10]
77C16EC4    0BD7            OR EDX,EDI
77C16EC6    83E2 03         AND EDX,3
77C16EC9    74 32           JE SHORT msvcrt.77C16EFD
77C16ECB    A9 01000000     TEST EAX,1
77C16ED0    74 0B           JE SHORT msvcrt.77C16EDD
77C16ED2    8A0E            MOV CL,BYTE PTR DS:[ESI]
77C16ED4    3A0F            CMP CL,BYTE PTR DS:[EDI]
77C16ED6    75 52           JNZ SHORT msvcrt.77C16F2A
77C16ED8    46              INC ESI
77C16ED9    47              INC EDI
77C16EDA    48              DEC EAX
77C16EDB    74 1D           JE SHORT msvcrt.77C16EFA
77C16EDD    8A0E            MOV CL,BYTE PTR DS:[ESI]
77C16EDF    8A17            MOV DL,BYTE PTR DS:[EDI]
77C16EE1    38D1            CMP CL,DL
77C16EE3    75 45           JNZ SHORT msvcrt.77C16F2A
77C16EE5    8A4E 01         MOV CL,BYTE PTR DS:[ESI+1]
77C16EE8    8A57 01         MOV DL,BYTE PTR DS:[EDI+1]
77C16EEB    38D1            CMP CL,DL
77C16EED    75 3B           JNZ SHORT msvcrt.77C16F2A
77C16EEF    83C7 02         ADD EDI,2
77C16EF2    83C6 02         ADD ESI,2
77C16EF5    83E8 02         SUB EAX,2
77C16EF8  ^ 75 E3           JNZ SHORT msvcrt.77C16EDD
77C16EFA    5F              POP EDI
77C16EFB    5E              POP ESI
这段是比较有没有被修改的代码
在 TSSafeEd模块里

10001D56    8989 596A1E8D   MOV DWORD PTR DS:[ECX+8D1E6A59],ECX
10001D5C    45              INC EBP
10001D5D    D05E 56         RCR BYTE PTR DS:[ESI+56],1
10001D60    50              PUSH EAX
10001D61    FF75 10         PUSH DWORD PTR SS:[EBP+10]
10001D64    E8 4D640000     CALL TSSafeEd.100081B6                   ; JMP 到 msvcrt.memcmp
这个CALL是做比较的。楼主去看下吧
还有个检测CC的，忘记在哪里啦，好像在SendInput函数下面点的，上次这里忘记做笔记啦
希望能帮到楼主，

在调用setwindowsHook 之前会对setwindowsHookA/W 做个memcpy restore Hook. 所以你直接bp那无效, 硬断应该可以,
很久以前调过的 嘿嘿..

谢谢啦。

竹君老大去CodeProject上面搜索下Anti Debug 看下代码就知道怎么回事了

你指的是 自生成技术吗？

异常那章不是有讲清除硬件断点吗？我理解的偷取代码也可以，比如，MessageBox的内部反汇编
MOV EDI EDI
PUSH EBP我先自己实现这两句，然后直接跳到这两句后面，
下断点一般就是第一句嘛，所以，这是我的个人理解，如果有错误请指出

TX会GetContext然后SetContext~

断点SetWindowsHookEx的深深深层call。我记得当时搞它的钩子是这么搞的

还是这老兄一说就明白佩服

cvcvxk。。。。

10楼很幽默。。。老V蛋痛了

蛋痛啥~tersafe.dll里的代码纠结蛋痛~