-
-
某驱动保护检测 请高手赐教
-
发表于: 2012-3-20 15:55
-
驱动保护已经过掉了 可以附加并调试
但它会检测调试工具
检测的非常快 打开后1分钟左右就发现了
于是自己写起了个驱动保护
一、 窗口检测 ShadowSSDT hook
NtUserFindWindowEx
NtUserQueryWindow
NtUserBuildHwndList
NtUserGetForegroundWindow
NtUserWindowFromPoint
二、进程检测
1、SSDT Hook ：
NtOpenProcess
NtReadVirtualMemory
NtQuerySystemInformation
2、 inline hook
ObReferenceObjectByHandle
KeStachAttachProcess
KeAttachProcess
MiDoPoolCopy
3、 EPROCESS 断链
4、开启一条内核线程 定时2秒 枚举系统所有句柄
发现有我的进程、线程句柄 上去ZwClose
到此觉得已经非常安全了 因为 我的子对话框也显示不出来了
打开游戏几秒后 我崩溃了 还是弹出 非法模块
已经拿它没办法了 请高手支点招
但它会检测调试工具
检测的非常快 打开后1分钟左右就发现了
于是自己写起了个驱动保护
一、 窗口检测 ShadowSSDT hook
NtUserFindWindowEx
NtUserQueryWindow
NtUserBuildHwndList
NtUserGetForegroundWindow
NtUserWindowFromPoint
二、进程检测
1、SSDT Hook ：
NtOpenProcess
NtReadVirtualMemory
NtQuerySystemInformation
2、 inline hook
ObReferenceObjectByHandle
KeStachAttachProcess
KeAttachProcess
MiDoPoolCopy
3、 EPROCESS 断链
4、开启一条内核线程 定时2秒 枚举系统所有句柄
发现有我的进程、线程句柄 上去ZwClose
到此觉得已经非常安全了 因为 我的子对话框也显示不出来了
打开游戏几秒后 我崩溃了 还是弹出 非法模块
已经拿它没办法了 请高手支点招
NTSTATUS MyQuerySystemHandle(
IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
OUT PVOID SystemInformation,
IN ULONG SystemInformationLength,
OUT PULONG ReturnLength OPTIONAL )
{
NTSTATUS status;
ULONG index;
PSYSTEM_HANDLE_INFORMATION_EX HandleTable;
status =RealNtQuerySystemInformation(SystemHandleInformation,SystemInformation,SystemInformationLength,ReturnLength);
if(!NT_SUCCESS(status))
return status;
HandleTable=(PSYSTEM_HANDLE_INFORMATION)((PULONG)SystemInformation);
for (index =0 ;index!=*(PULONG)SystemInformation;index++)
{
if (HandleTable->Information[index].ProcessId == ProcessIdToProtect)
{
HandleTable->Information[index].ProcessId =NULL;
HandleTable->Information[index].ObjectTypeNumber=NULL;
HandleTable->Information[index].Object=NULL;
HandleTable->Information[index].Handle=NULL;
HandleTable->Information[index].GrantedAccess=NULL;
HandleTable->Information[index].Flags=NULL;
}
}
return status;
}
NTSTATUS MyNtQuerySystemInformation(
IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
OUT PVOID SystemInformation,
IN ULONG SystemInformationLength,
OUT PULONG ReturnLength OPTIONAL )
{
if (SystemInformationClass ==SystemHandleInformation)
{
return MyQuerySystemHandle(SystemInformationClass,SystemInformation,SystemInformationLength,ReturnLength);
}
return RealNtQuerySystemInformation(SystemInformationClass,SystemInformation,SystemInformationLength,ReturnLength);
}
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
 呵呵 你说的HS吧 等待我倒是觉得 你可以把你的OD加个压缩壳看看 不要SOD了 |
|
|
不是HS 国内很弱的一个保护
就是检测工具厉害了  由于不会delphi 窗口还是留着一行 Cheat Engine
|
|
|
 都直接检测控件 重写个CE吧 用VC
|
|
|
|
|
|
|
|
|
|
|
|
正是TP 原版CE 加UPX 、VMP都不行
多线程知识不好 写了个CE太卡了 所以想着写个驱动保护防止检测
|
|
|
TO zallen
没搞过HS
|
|
|
直接检测控件 大小等特征 驱动上没用的 只能自己下SRC来改 正因这个我不会delphi问题 我正在重写CE
|
|
|
TO 小猪怕怕
之前我也再写 多线程知识不好 所以没继续写下去 期待大牛的作品 
|
|
|
|
|
|
|
|
|
我开XT都不退？？？？？？？？
也可以看模块，好多人都说附加看不见模块  ！！！！！！！！！！！！！！！！！ 1。搞定SSDT HOOK 2。暂停TP线程 3。搞掉两个定时器 4。搞定回调 就OK了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
检测ce不难解决，可对crc检测，我就不会了。
|
|
|
|
