-
-
[旧帖]
[求助]分析游戏保护遇到的奇怪问题
0.00雪花
-
发表于:
2012-7-10 20:28
1316
-
[旧帖] [求助]分析游戏保护遇到的奇怪问题
0.00雪花
有个游戏挂钩了NtDebugActivePrcess里的一个子函数，我在根据索引号定位到NtDebugActivePrcess起始地址，这里假设为0x840549dc，根据硬编码搜索那个子函数，但是只要一用这句话*(ULONG *)0x840549dc就蓝屏出现driver_irql_not _less or equal这个错误，但是如果搜索其他内存地址就没有问题，假设NTopenProcess 地址为0x88888888;
*(ULONG *)0x88888888这样就是正常的，求教大牛，具体是怎么回事
另外本人有采取了很多措施 无论这句话在PASSIVE还是DPC都是蓝屏，而且只蓝屏这个NtDebugActivePrcess函数内部，其他地方不蓝屏，使用自旋锁也不行，保护也关闭了，但是偏偏凑巧有时候会成功那么一下子，之后就一直蓝屏，附上蓝屏代码
ULONG addr=SSDTIndextoAddr(NTDebugActiveProcess);//显示NTDebugActiveProcess起始4字节
KdPrint(("%x",*(ULONG *)addr));//蓝屏
ULONG addr=SSDTIndextoAddr(NTOpenprocess);//显示NTOpenprocess起始4字节
KdPrint(("%x",*(ULONG *)addr));//没问题
[课程]Android-CTF解题方法汇总！
