首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[原创]分页机制 打造自己的变速齿轮
发表于: 2011-11-4 02:03 28886

[原创]分页机制 打造自己的变速齿轮

wuguan 活跃值
1
2011-11-4 02:03
28886

传统变速齿轮通过HOOK GetTickCount时间函数 之后修改返回值获得效果。

这样做的好处是方便,不好是容易被一些反的游戏检测出来.或者游戏自己仿写一个GetTickCount也不难.

因为分析GetTickCount的动作。其实是访问了进程内存地址$7FFE0000。

进程内存地址$7FFE0000上是一个不断更新的数值。其更新是由系统来完成。系统中$FFDF0000地址正是跟进程上映射到相同的物理地址。

那么我们可以在系统中再创建一个空间，作为一个假的时间记录空间，然后由系统更新$FFDF0000的时候顺便更新这个假的记录空间，当然这个是按照我们的意思来更新（即时间变快），然后将这要改变速度的目标进程的内存地址$7FFE0000映射改为我们这个假的空间。那么无论是 GetTickCount函数获得的都是只按我们意愿改变的时间。

原理说完了。来看下代码：

首先。我们在驱动入口时，此时位于系统上下文，我们应该做些什么。

1.获得系统更新时间函数的地址：

 RTlInitAnsiString(@g_KeUpdateSystemTime_Name_Ansi,'KeUpdateSystemTime');
 RtlAnsiStringToUnicodeString(@g_KeUpdateSystemTime_Name_Unicode,@g_KeUpdateSystemTime_Name_Ansi,true);   //字符
 g_KeUpdateSystemTime_Address:=MmGetSystemRoutineAddress(@g_KeUpdateSystemTime_Name_Unicode);
 g_KeUpdateSystemTime_Address_C:=cardinal(g_KeUpdateSystemTime_Address);
 RtlFreeUnicodeString(@g_KeUpdateSystemTime_Name_Unicode);
 if g_KeUpdateSystemTime_Address<>nil then
 begin
  g_pmdlSystemCall:=MmCreateMdl(nil,g_KeUpdateSystemTime_Address,$6D);
  if g_pmdlSystemCall<>nil then
  begin
   MmBuildMdlForNonPagedPool(g_pmdlSystemCall);
   g_pmdlSystemCall^.MdlFlags:=g_pmdlSystemCall^.MdlFlags or MDL_MAPPED_TO_SYSTEM_VA;
   MappedSystemCallTable:=MmMapLockedPages(g_pmdlSystemCall,KernelMode);
   Byte_KeUpdateSystemTime:=g_KeUpdateSystemTime_Address;
   if Byte_KeUpdateSystemTime^=$B9 then
   begin
    DbgPrint('版本匹配成功1!'#13#10);
    Cardinal_KeUpdateSystemTime:=PTR(g_KeUpdateSystemTime_Address_C+1);
    if Cardinal_KeUpdateSystemTime^=$FFDF0000 then
    begin
     DbgPrint('版本匹配成功2!'#13#10);
     SysBBOK:=true;
    end;
   end;
  end;
 end;
  HST1Next:=PTR(g_KeUpdateSystemTime_Address_C+5);
  HST1To:=cardinal(@HST1)-g_KeUpdateSystemTime_Address_C-5;
  Cardinal_KeUpdateSystemTime:=PTR(g_KeUpdateSystemTime_Address_C+1);
  Byte_KeUpdateSystemTime:=g_KeUpdateSystemTime_Address;
  Cardinal_KeUpdateSystemTime^:=HST1To;
  Byte_KeUpdateSystemTime^:=$E9;
procedure HST1;
asm
 push eax
 push ebx
 push ecx
 push edx
 call HST1EX    //调用顺便更新假空间的函数
 pop edx
 pop ecx
 pop ebx
 pop eax
 mov ecx,$FFDF0000   //恢复我们改写的内容,在系统更新时间函数上我们的跳转覆盖了这个指令
 jmp HST1Next           //跳回去下一个指令
end;
procedure HST1EX;
label L;
begin
 if HST1_OPEN=1 then
 begin
  HST1_GT_Temp1:=PTR($FFDF0004);
  HST1_GT1_INGG:=HST1_GT_Temp1^;
  HST1_GT_Temp1:=PTR($FFDF0000);                   //取系统上真实的时间.
  HST1_GT1:=HST1_GT_Temp1^;
  HST1_GT_Temp2:=PTR($FFDF0008);
  HST1_GT2:=HST1_GT_Temp2^;
  HST1_GT_Temp3:=PTR($FFDF0014);
  HST1_GT3:=HST1_GT_Temp3^;
  
  if HST1_GT_JiaShu=0 then
  begin
   HST1_GT1_Save:=HST1_GT1;
   HST1_GT2_Save:=HST1_GT2;
   HST1_GT3_Save:=HST1_GT3;
  end;

//加快的时间=真实系统时间+(真实系统时间-原记录系统时间)*要改变的速度倍数
  HST1_GT1_ING:=HST1_GT1+(HST1_GT1-HST1_GT1_Save)*(HST1_GT_JiaShu);

//  HST1_GT2_ING:=HST1_GT2+(HST1_GT2-HST1_GT2_Save)*(HST1_GT_JiaShu);
  HST1_GT_CC1:=HST1_GT_JiaShu;
  HST1_GT_CC2:=HST1_GT2-HST1_GT2_Save;
  //HST1_GT2_ING:=HST1_GT_CC1*HST1_GT_CC2;
  llmul(HST1_GT_CC1,HST1_GT_CC2,HST1_GT2_ING);
  HST1_GT2_ING:=HST1_GT2+HST1_GT2_ING;

  HST1_GT_TempC2:=@HST1_GT2_ING;
  inc(HST1_GT_TempC2);
  HST1_GT2_INGG:=HST1_GT_TempC2^;
  
//  HST1_GT3_ING:=HST1_GT3+(HST1_GT3-HST1_GT3_Save)*(HST1_GT_JiaShu);
  HST1_GT_CC1:=HST1_GT_JiaShu;
  HST1_GT_CC2:=HST1_GT3-HST1_GT3_Save;
  //HST1_GT3_ING:=HST1_GT_CC1*HST1_GT_CC2;
  llmul(HST1_GT_CC1,HST1_GT_CC2,HST1_GT3_ING);
  HST1_GT3_ING:=HST1_GT3+HST1_GT3_ING;

  HST1_GT_TempC3:=@HST1_GT3_ING;
  inc(HST1_GT_TempC3);
  HST1_GT3_INGG:=HST1_GT_TempC3^;


  HST1_GT_Temp1:=g_pSharedMemory;
  HST1_GT_Temp1^:=HST1_GT1_ING;
  Inc(HST1_GT_Temp1);
  HST1_GT_Temp1^:=HST1_GT1_INGG;

  HST1_GT_Temp2:=PTR(cardinal(g_pSharedMemory)+$8);
  HST1_GT_Temp2^:=HST1_GT2_ING;

  HST1_GT_Temp1:=PTR(cardinal(g_pSharedMemory)+$10);
  HST1_GT_Temp1^:=HST1_GT2_INGG;

  HST1_GT_Temp3:=PTR(cardinal(g_pSharedMemory)+$14);
  HST1_GT_Temp3^:=HST1_GT3_ING;

  HST1_GT_Temp1:=PTR(cardinal(g_pSharedMemory)+$1C);
  HST1_GT_Temp1^:=HST1_GT3_INGG;

  g_pSharedMemory_Temp:=PTR(cardinal(g_pSharedMemory)+$20);
  HST1_Memory_Temp:=PTR($FFDF0020);
  HST1_N:=0;
L:
  g_pSharedMemory_Temp^:=HST1_Memory_Temp^;
  inc(g_pSharedMemory_Temp);       //除了更新时间地址,还得把后面空间上的内容一并复制上去.
  inc(HST1_Memory_Temp);
  HST1_N:=HST1_N+1;
  if HST1_N<1016 then
  begin
   goto L;
  end;
 end;
end; 
    asm
     mov eax,cr0
     mov GetMyCR0,eax
    end;

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
收藏
免费 ・6
支持
分享
最新回复 (24)
邓韬
雪    币： 278
活跃值： (709)
能力值： ( LV15，RANK：520 )
在线值：
发帖
回帖
粉丝
私信
2 楼
顶下，不会Delphi
2011-11-4 03:50
0
FishSeeWater
雪    币： 768
活跃值： (530)
能力值： ( LV13，RANK：460 )
在线值：
发帖
回帖
粉丝
私信
3 楼
mark Delphi 写驱
2011-11-4 08:09
0
wParma
雪    币： 79
活跃值： (40)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
4 楼
亲...爱你哦 学习下 谢谢 想学习下 Delphi
2011-11-4 15:44
0
caolinkai
雪    币： 3836
活跃值： (4142)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
这文章应该申精的。。。
2011-11-4 17:56
0
BianChengN
雪    币： 527
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
mark
2011-11-4 19:22
0
goddkiller
雪    币： 485
活跃值： (78)
能力值： ( LV4，RANK：40 )
在线值：
发帖
回帖
粉丝
私信
7 楼
mark,thx for share it ~~~good article
2011-11-4 21:51
0
ProgmBoy
雪    币： 382
活跃值： (352)
能力值： ( LV2，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
8 楼
不错.不习惯d..还是下下来看bin
2011-11-7 11:38
0
专业路过
雪    币： 538
活跃值： (259)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
9 楼
好吧 其实我一直想学这个东西.顶楼主好文~~~
2011-11-7 20:59
0
莫灰灰
雪    币： 2271
活跃值： (2160)
能力值： (RANK：400 )
在线值：
发帖
回帖
粉丝
私信
10 楼
要是写成C的就更好了。
2011-11-7 21:29
0
mumaren
雪    币： 71
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
不熟悉delphi

希望改成c的
2011-11-7 22:05
0
anye
雪    币： 494
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
赞同，
楼主思路很好。
2011-11-8 09:22
0
xPLK
雪    币： 375
活跃值： (12)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
13 楼
貌似从前有个叫“月光宝盒”的东西就是这样干的。
2011-11-8 17:14
0
xzchina
雪    币： 615
活跃值： (1192)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
14 楼
500年前!!!!!
2011-11-8 19:40
0
thankme
雪    币： 219
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
好东西，看看
2011-11-8 22:03
0
tihty
雪    币： 27
活跃值： (127)
能力值： ( LV8，RANK：120 )
在线值：
发帖
回帖
粉丝
私信
16 楼
看一看 ：）
2011-11-9 13:21
0
zuoyefeng
雪    币： 237
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
markkkkkkkkk
2011-11-11 03:53
0
游戏蛀虫
雪    币： 204
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
18 楼
呵呵 这东西有系统限制吧
估计就WINXP 能跑 或则32位系统
2011-11-11 11:53
0
K4NG
雪    币： 970
活跃值： (1234)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
19 楼
不错，支持下
2011-11-11 20:47
0
lhwqqq
雪    币： 47
活跃值： (31)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
20 楼
Delphi 牛人
2011-11-15 08:36
0
游戏蛀虫
雪    币： 204
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
TP真的还是好强大，检测了内核态达挂钩了的。
没想到这样的方式也不行 呵呵
2011-11-15 13:48
0
TasNat
雪    币： 45
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
同志,少文件
Wu_BasicUnit, Wu_ProcessFindUnit
2012-2-3 11:27
0
TasNat
雪    币： 45
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
23 楼
procedure Wu_GetLinkOfS(sIn : string; Chr : Char; nIndex : Integer; var sOut : string);
var
  I,II : Integer;
  pIn : PChar;
begin
  sOut := sIn;
  II := 1;
  for I := 1 to Length(sIn) do begin
    if sIn[I] = Chr then begin
      Inc(II);
      if (II = nIndex) then begin
        sOut := Copy(sIn, I + 1, Length(sIn));
        Break;
      end;
    end;
  end;
  II := Pos(Chr, sOut);
  if II > 0 then
    Delete(sOut, II, Length(sOut));
end;
2012-2-3 14:52
0
yzswk
雪    币： 464
活跃值： (67)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
24 楼
好东西，看看
2012-2-4 18:00
0
moasm
雪    币： 45
活跃值： (51)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
25 楼
内核中的地址 0xffdf0000 对应的物理内存, 映射到每个进程中的地址是 0x7ffe0000;

实际上这个地址对应的是一个 _KUSER_SHARED_DATA结构:
[CODE]
nt!_KUSER_SHARED_DATA
   +0x000 TickCountLow     : Uint4B
   +0x004 TickCountMultiplier : Uint4B
   +0x008 InterruptTime    : _KSYSTEM_TIME
    ... ...
[\CODE]

+0和+8处的两个结构 对实现变速齿轮有用.
因为三环下: timeGetTime, GetTickCount, QuerPerformanceCount,三个获取时间的函数,
实际上主要的功能是查询+0或者+8地方的值....(PS: 打开OD自己看着三个函数的实现...)
(顺道多嘴, Hook着三个函数就能实现一个三环下的变速齿轮当然,扫雷不能加速, 因为它是用的定时器(timmer)计时~~~)

正题: 内核下,在虚拟机中调试, 看到的是由KeUpdateSystemTime负责更新!_KUSER_SHARED_DATA
中的时间.(具体自己打开你的WinDbg + 看看win源码).....

楼主说的方法类似于Hook KeUpdateSystemTime函数, 让其更新时间的时候 被我们乘机修改??

我试了Hook这个函数更新系统时间的, 加速2倍, 结构受到的效果不是系统时间加速两倍, 而是系统时钟走得断断续续, 加速别的程序什么的也不成....

这个直接的, 仅仅的. 修改0xffdf0000的 方法, 应该是不能实现变速齿轮的....
楼主的变速齿轮, 下过来运行 直接蓝屏~ 应该是硬编码的挂钩地址吧?~

看了一下"守望者变速齿轮"的实现..  
无奈能力有限, 只能看到其Hook了 KeUpdateSystemTime,这个可以完整逆向偷学来....
但是其修改了hal.dll等的系统dll..... 不好搞, 不知道怎么搞...

寻求实现变速齿轮 内核版 的方法ing.....
2012-7-6 20:38
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//