看了 http://bbs.pediy.com/showthread.php?t=126802 这篇帖子

参考他的代码 基本的代码都写完了  就是debugport清零这块还是有问题

//首先干掉监视函数
  while (1)
  {
    if ((*(pd-1) == 0xcc) && (*(pd-2) == 0xcc))
    {
      KdPrint(("pd首地址:%0X \n",(ULONG)pd));
      WPOFF();  //清除CR0
      //提升IRQL中断级
      Irql=KeRaiseIrqlToDpcLevel();
      //写入
      RtlCopyMemory(pd,C390,2);
      //恢复Irql
      KeLowerIrql(Irql);
      WPON();    //恢复CR0
      break;
    }
    pd--;
  }
这是那帖子的代码

我按照他的思路 用枚举模块+偏移的方法找到了 他清0的地方
又参考这篇帖子 http://bbs.pediy.com/showthread.php?t=127246&highlight=debugport+%E7%AE%80%E5%8D%95+%E5%8D%95%E5%88%86+%E5%88%86%E6%9E%90+%E6%9E%90%E6%9F%90+%E6%9F%90%E6%B8%B8+%E6%B8%B8%E6%88%8F+%E6%B8%85%E9%9B%B6+%E9%9B%B6
用IDA反汇编 对比了下代码 完全一样
BYTE* TX_TesSafeBase_2638;
        BYTE* TX_TesSafeBase_4F2C;
        DWORD TX_TesSafeBase_41E0; //清0的代码 函数头
        BYTE* TX_TesSafeBase_379E;

        KdPrint(("TX_TesSafeBase:%0X \n",TX_TesSafeBase));

        BYTE  C390[2] = {0xc3,0x90};

        TX_TesSafeBase_41E0=TX_TesSafeBase+0x41E0;
        KdPrint(("TX_TesSafeBase_41E0:%0X \n",(ULONG)TX_TesSafeBase_41E0));

        KIRQL Irql;
        WPOFF();  //清除CR0
        Irql=KeRaiseIrqlToDpcLevel();
        //写入
        RtlCopyMemory((BYTE*)TX_TesSafeBase_41E0,C390,2); //干掉监视
        KeLowerIrql(Irql);
        WPON();    //恢复CR0

//----------------------------------------------------       
        TX_TesSafeBase_2638=(BYTE*)TX_TesSafeBase+0x2638;
        KdPrint(("TX_TesSafeBase_2638:%0X \n",TX_TesSafeBase_2638));

        WPOFF();  //清除CR0
        Irql=KeRaiseIrqlToDpcLevel();
        //写入
        RtlCopyMemory((BYTE*)TX_TesSafeBase_2638,C390,2); //干掉第1段清零
        KeLowerIrql(Irql);
        WPON();    //恢复CR0

        ////----------------------------------------------------       
        TX_TesSafeBase_4F2C=(BYTE*)TX_TesSafeBase+0x4F2C;
        KdPrint(("TX_TesSafeBase_4F2C:%0X \n",TX_TesSafeBase_4F2C));

        WPOFF();  //清除CR0
        Irql=KeRaiseIrqlToDpcLevel();
        //写入
        RtlCopyMemory((BYTE*)TX_TesSafeBase_4F2C,C390,2); //干掉第2段清零
        KeLowerIrql(Irql);
        WPON();    //恢复CR0

代码应该这样基本就写完了吧 打开OD附加 还是一片空白 过阵子还是被检测到 提示 游戏环境异常 哪位高手帮忙看下啊 研究了10多天了

[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！