-
-
[分享]如何过TP清0的方法(最新TP有三处清0)
-
发表于: 2012-2-1 17:58
-
由于某人说的兄弟一气之下删除了贴子
现在想来也是像其网友说可能触犯某些的饭碗~~~~~~~~~~~~~~
现在恢复也增加了一些东西
希望朋友多给些意见
这段时间一直在研究tp驱动
我觉得TP清0相对难一点其他都比较间单~~~
在这要感谢这篇文章的兄弟
http://bbs.pediy.com/showthread.php?t=126802&highlight=tp
虽然用他给出的代码没有过掉TP但是用他给出的思路
分析总结了crazyearl一下:
1.定位TP驱动模块的首地址.
2.如何定位特征大家可以参考
http://bbs.pediy.com/showthread.php?t=127246&highlight=DebugPort
这篇文章我通过IDA XT找到的特征码
3.再找岀一处监控.二处清0代码的首址!!!!!!!!!!!
这重点呢
3.找到这三处的首地址后注意了先要干掉监控在干掉清0
NTSTATUS My_Recovery_Debugport()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
//首先干掉监视函数
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps2,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
//干掉2个SD
NTSTATUS My_Recovery_Debugport1()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
NTSTATUS My_Recovery_Debugport2()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps1,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
这是修改crazyearl的代码我没有用他找特征码的代码自己写了一段汇编代码找到了首地址
哈如何查找特征码的代码我就不发了
因为现在许多都靠过TP驱动吃饭>>
我想说 crazyearl 的方法是有效地
清0如何查找及定位我的工具是Syser 进行本地调试.
由于对于此调试器也不太会用定位 EPROCESS+BC 地址只好用windbg.exe在本地内核调试命今窗口
就可找到你所进程的信息
2. 打开Syser Loader 按Ctrl+F12并在命今行下
bpm EPROCESS+BC w
bpm 是下断指今
EPROCESS+BC 就用我说吧不知就
w 写访问
下好断点就F5一下就会断下来记录下清0地址(EBXXXXXX)
呵呵好像最新TP有三个清0就F5在两次并记录下清0地址.(要注意提取出特征握)
3.现在就找监控.我记录的清0地址就要用上了在命今行下
bc XXXXXXXX 清除断点
bpm EBXXXXXX rw
F5一下就可断在监控代码段 .(要注意提取出特征握)
不多说了~~~~~~~~~~~~
最新TP要处理三处请0一处监控~~~~~~~~曰第三处有点变态呵呵调试兄弟
花差不多两天时间最后给我呵呵废话不多说了
现在想来也是像其网友说可能触犯某些的饭碗~~~~~~~~~~~~~~
现在恢复也增加了一些东西
希望朋友多给些意见
这段时间一直在研究tp驱动
我觉得TP清0相对难一点其他都比较间单~~~
在这要感谢这篇文章的兄弟
http://bbs.pediy.com/showthread.php?t=126802&highlight=tp
虽然用他给出的代码没有过掉TP但是用他给出的思路
分析总结了crazyearl一下:
1.定位TP驱动模块的首地址.
2.如何定位特征大家可以参考
http://bbs.pediy.com/showthread.php?t=127246&highlight=DebugPort
这篇文章我通过IDA XT找到的特征码
3.再找岀一处监控.二处清0代码的首址!!!!!!!!!!!
这重点呢
3.找到这三处的首地址后注意了先要干掉监控在干掉清0
NTSTATUS My_Recovery_Debugport()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
//首先干掉监视函数
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps2,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
//干掉2个SD
NTSTATUS My_Recovery_Debugport1()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
NTSTATUS My_Recovery_Debugport2()
{
NTSTATUS stats;
KIRQL Irql;
BYTE C390[2] = {0xc3,0x90};
WPOFF(); //清除CR0
//提升IRQL中断级
Irql=KeRaiseIrqlToDpcLevel();
//写入
RtlCopyMemory(ps1,C390,2);
//恢复Irql
KeLowerIrql(Irql);
WPON(); //恢复CR0
return STATUS_SUCCESS;
}
这是修改crazyearl的代码我没有用他找特征码的代码自己写了一段汇编代码找到了首地址
哈如何查找特征码的代码我就不发了
因为现在许多都靠过TP驱动吃饭>>
我想说 crazyearl 的方法是有效地
清0如何查找及定位我的工具是Syser 进行本地调试.
由于对于此调试器也不太会用定位 EPROCESS+BC 地址只好用windbg.exe在本地内核调试命今窗口
就可找到你所进程的信息
2. 打开Syser Loader 按Ctrl+F12并在命今行下
bpm EPROCESS+BC w
bpm 是下断指今
EPROCESS+BC 就用我说吧不知就
w 写访问
下好断点就F5一下就会断下来记录下清0地址(EBXXXXXX)
呵呵好像最新TP有三个清0就F5在两次并记录下清0地址.(要注意提取出特征握)
3.现在就找监控.我记录的清0地址就要用上了在命今行下
bc XXXXXXXX 清除断点
bpm EBXXXXXX rw
F5一下就可断在监控代码段 .(要注意提取出特征握)
不多说了~~~~~~~~~~~~
最新TP要处理三处请0一处监控~~~~~~~~曰第三处有点变态呵呵调试兄弟
花差不多两天时间最后给我呵呵废话不多说了
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
高手，
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
最 近 发 现 好 多 朋 友 都 在 搞
内 核 枚 举 这 块 我 也 在 网 找 了 好 多 相 关 的 源 码 编 译 基 本 不 可 以 通 过 直 最 看 到 这 个 http://bbs.pediy.com/showthread.php?t=78164&highlight=KsBinSword+%E5%8F%8D%E7%97%85+%E7%97%85%E6%AF%92 从weolar的源码提取出相关代码并做了一些修改最后ok了 想放出相关怕怕影响不好唉还是过段时间在说  |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
D_N_F的游戏数据是不是加密了，lz有没有什么突破口，拿出来研究研究，ps:只是兴趣，没别的意思
|
|
|
|
|
|
|
|
|
|
|
|
 其实可以直接停掉他清零的线程，还有一个IO定时器，一个DPC定时器。
|
|
|
|
|
|
|
|
|
|
|
|
 谢谢~~~~~~~~
|
|
|
|
|
|
|
|
|
|
