[原创]Windows系统时光机(副标题: 守望者逆向)-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创]Windows系统时光机(副标题: 守望者逆向)

发表于: 2012-10-29 15:04 21261

[原创]Windows系统时光机(副标题: 守望者逆向)

cppcoffee

2012-10-29 15:04

21261

【文章标题】: Windows系统时光机(副标题: 守望者逆向)
【文章作者】: root
【作者邮箱】: cppcoffee@gmail.com
【作者主页】: hi.baidu.com/cppcoffee
【软件名称】: 守望者
【下载地址】: 自己搜索下载
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  在6月份的时候已经逆向完守望者的核心驱动并还原成代码.由于一些事情迟迟没有发布(也许有些大牛手头上也有,由于一些原因没有公开吧,呵呵).
  看到论坛有一些帖子有关守望者的讨论,希望这篇文章能够让大伙少走弯路：）

  这是一个逆向游戏守望者的一个驱动,用来给整个系统进行加速处理.
  目前是整个系统都加速,包括系统时钟也变快了.
  备注: R3层要加载D3D9相关的DLL进行初始化,才会真正的体验到加速的效果.

  跟踪守望者应用层程序使用宇宙加速功能的时候分别执行了如下操作:
  1. 安装了名为 Gwken.dll 的驱动文件.
  2. 打开的设备名:  \\.\GWDRIVER_DeviceName
  3. 调用 GWHookMan.dll 提供的两个接口
   // 设置速度的函数 nSpeed速度值初始化是100 (1倍)
   BOOL __stdcall GwSetText(int nSpeed)
   // 间隔刷新 (SetTimer 300毫秒调用一次,一直设置IOCTL)
   BOOL __cdecl GwSdRefresh()

  好了,到目前已经知道了驱动文件是哪个了,可以开始分析内核了.
  在驱动层,用雪兔儿查看了下HOOK的内核钩子有两个,分别是 KeUpdateSystemTime 和 KeQueryPerformanceCounter.

  插个题外话,分享下一点小常识,呵呵,起初参考的代码是ReactOS,发现 ReactOS 定义的 KeUpdateSystemTime __stdcall,结果我也用__stdcall,虚拟机就蓝屏了,后来才发现原来不是每个驱动函数都是用__stdcall的 - -b
  后来用IDA看下 ntoskrnl.exe,才发现它是__cdecl.囧Orz...

  进入正题.
  使用兄弟工作室提供的那个加速公式:
  Result := 上次返回时间 + Round((当前返回时间 - 上次正常时间) * Power(2,倍数));

  在驱动里面inline HOOK KeUpdateSystemTime 和 KeQueryPerformanceCounter
  然后定义两个数值,用来计算加速多少倍

  ---------------------------------华丽的分割线---------------------------------
  // 变速基数
  const DWORD g_dwSpeedBase = 100;
  // 变速数值 (200 / 100 = 2倍速,驱动加载后,默认为2倍速)
  DWORD g_dwSpeed_X = 200;


  替换掉的 KeUpdateSystemTime 函数内容如下
  // 必须是裸函数
  VOID __declspec(naked) __cdecl Fake_KeUpdateSystemTime()
  {
   // 跳转到新函数去执行
   __asm
   {
      // 参数是EAX和EDX传参的, 分别是 OUT PLARGE_INTEGER CurrentTime 的高位和低位
      // 进行变速处理 (EAX * 当前速度值 / 速度基数)
      mul g_dwSpeed_X
      div g_dwSpeedBase
      // 跳转到原来的函数去执行
      jmp JmpOriginal_KeUpdateSystemTime
   }
  }

  替换掉的 KeQueryPerformanceCounter
  // 伪装KeQueryPerformanceCounter
  LARGE_INTEGER __stdcall Fake_KeQueryPerformanceCounter( OUT PLARGE_INTEGER PerformanceFrequency )
  {
   LARGE_INTEGER liResult;
   LARGE_INTEGER liCurrent;

   // 调用原始函数
   liCurrent = JmpOriginal_KeQueryPerformanceCounter( PerformanceFrequency );

   // 上次返回时间 + Round((当前返回时间 - 上次正常时间) * Power(2,倍数));
   liResult.QuadPart = g_liPreReturnCounter.QuadPart + (liCurrent.QuadPart - g_liPreOriginalCounter.QuadPart) * g_dwSpeed_X / g_dwSpeedBase;

   // 保存当前的原始数值
   g_liPreOriginalCounter.QuadPart = liCurrent.QuadPart;
   // 保持返回值
   g_liPreReturnCounter.QuadPart = liResult.QuadPart;

   return liResult;
  }

  ---------------------------------我是分割线---------------------------------

  好了就写到这里了,由于感冒犯困,文章中可能避免不了笔误,请大家见谅.

  本文末尾附上驱动源码和逆向的IDB文件,驱动使用WDK 7600.16385.1编译通过,在XP系统下面测试通过.

  备注: 需要在加载驱动后,发现系统变卡了,请运行一个MP3播放器播放一首歌曲吧(或自己调用DX的初始化函数),就能够看到加速的效果了.守望者内部是加载了d3d9.dll的初始化函数来让驱动做的一些工作生效,由于没有DX的源码,无法分析到底是什么原理.还望感兴趣的人能够分享一下心得体会.

  谢谢兄弟工作室提供的公式.

  声明: 代码只用来学习交流用,请勿用于非法用途,否则后果自负.

--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                   2012年10月29日 14:54:50

登录后可查看完整内容

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

#调试逆向

上传的附件：

逆向IDB.rar （102.51kb，246次下载）
Phantom.rar （8.74kb，365次下载）

收藏・54

免费・6

支持

最新回复 (24)
komawangs 雪币： 1262 活跃值： (1048) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 54 粉丝 3 关注私信	komawangs 2 楼不错，收藏先看看 2012-10-29 15:13 0
王旭峰雪币： 192 活跃值： (70) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 52 粉丝 0 关注私信	王旭峰 3 楼我只是过来学习的.. 2012-10-29 15:14 0
obaby 雪币： 14983 活跃值： (5285) 能力值： ( LV15，RANK：880 ) 在线值：发帖 53 回帖 646 粉丝 81 关注私信	obaby 20 4 楼俺是来学习滴～ 2012-10-29 15:18 0
半斤八兩雪币： 223 活跃值： (516) 能力值： ( LV13，RANK：520 ) 在线值：发帖 68 回帖 610 粉丝 22 关注私信	半斤八兩 10 5 楼先来顶小C,再来拜读. 2012-10-29 15:25 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 6 楼谢谢大家的支持 2012-10-29 16:15 0
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 235 关注私信	cvcvxk 10 7 楼 hook版时光机其实系统会卡是个bug~ 2012-10-29 17:23 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 8 楼 V大果然犀利 2012-10-29 19:09 0
Fido 雪币： 107 活跃值： (404) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 1019 粉丝 1 关注私信	Fido 9 楼学习了...膜拜楼主和V 2012-10-29 19:30 0
iwantbmw 雪币： 102 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 100 粉丝 0 关注私信	iwantbmw 10 楼哈哈，随便来看下就发现了个好文章，哈哈，谢谢！ 2012-10-29 19:59 0
showhuman 雪币： 242 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 23 粉丝 0 关注私信	showhuman 11 楼这个牛~。字数补丁。123 2012-10-29 20:25 0
linhanshi 雪币： 97697 活跃值： (200799) 能力值： (RANK：10 ) 在线值：发帖 9249 回帖 27943 粉丝 451 关注私信	linhanshi 12 楼 Thanks for share. 上传的附件： cool.gif （0.75kb，18次下载） 2012-10-30 00:17 0
淡定疯着雪币： 297 活跃值： (120) 能力值： ( LV5，RANK：60 ) 在线值：发帖 31 回帖 445 粉丝 1 关注私信	淡定疯着 13 楼来晚了，顶了再慢慢看。 2012-10-30 07:21 0
combojiang 雪币： 321 活跃值： (271) 能力值： ( LV13，RANK：1050 ) 在线值：发帖 44 回帖 765 粉丝 56 关注私信	combojiang 26 14 楼支持下，不过附件的idb打不开。 2012-10-30 10:07 0
obaby 雪币： 14983 活跃值： (5285) 能力值： ( LV15，RANK：880 ) 在线值：发帖 53 回帖 646 粉丝 81 关注私信	obaby 20 15 楼嗯嗯，我也打不开，哈哈。 2012-10-30 11:00 0
kingcomer 雪币： 73 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 190 粉丝 0 关注私信	kingcomer 16 楼做了ring3层的东西~惊现ring0层 2012-10-30 11:35 0
fishgs 雪币： 677 活跃值： (24) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 41 粉丝 0 关注私信	fishgs 17 楼来支持个~~~~~ 2012-10-30 12:34 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 18 楼为什么我的能打开,我用的IDA是看雪论坛上面提供的破解工具箱里面的IDA Professional v6.1 2012-10-30 13:14 0
张振江雪币： 122 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 226 粉丝 0 关注私信	张振江 19 楼让系统时间加速？ 2012-10-30 14:57 0
samshine 雪币： 265 活跃值： (2476) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	samshine 20 楼 l 论坛搜索dbfix。 2012-10-31 14:20 0
jkryanchou 雪币： 37 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	jkryanchou 21 楼好东西绝对要顶！！！！ 2012-11-3 09:58 0
逆帅雪币： 64 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 32 粉丝 0 关注私信	逆帅 22 楼 mark n.s 2012-11-4 19:36 0
yayayxkf 雪币： 256 活跃值： (41) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 86 粉丝 0 关注私信	yayayxkf 23 楼精辟,最近学习驱动,最喜欢看楼主的文章的,期待下一篇 2012-11-6 19:07 0
taizhong 雪币： 123 活跃值： (316) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 158 粉丝 4 关注私信	taizhong 24 楼问题来了，win10 64位系统呢？ 2020-6-4 01:09 0
ZwCopyAll 雪币： 259 活跃值： (283) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 266 粉丝 10 关注私信	ZwCopyAll 25 楼 666 2020-6-4 17:54 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

cppcoffee

发帖

回帖

300

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (24)
komawangs 雪币： 1262 活跃值： (1048) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 54 粉丝 3 关注私信	komawangs 2 楼不错，收藏先看看 2012-10-29 15:13 0
王旭峰雪币： 192 活跃值： (70) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 52 粉丝 0 关注私信	王旭峰 3 楼我只是过来学习的.. 2012-10-29 15:14 0
obaby 雪币： 14983 活跃值： (5285) 能力值： ( LV15，RANK：880 ) 在线值：发帖 53 回帖 646 粉丝 81 关注私信	obaby 20 4 楼俺是来学习滴～ 2012-10-29 15:18 0
半斤八兩雪币： 223 活跃值： (516) 能力值： ( LV13，RANK：520 ) 在线值：发帖 68 回帖 610 粉丝 22 关注私信	半斤八兩 10 5 楼先来顶小C,再来拜读. 2012-10-29 15:25 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 6 楼谢谢大家的支持 2012-10-29 16:15 0
cvcvxk 雪币： 8835 活跃值： (2404) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 235 关注私信	cvcvxk 10 7 楼 hook版时光机其实系统会卡是个bug~ 2012-10-29 17:23 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 8 楼 V大果然犀利 2012-10-29 19:09 0
Fido 雪币： 107 活跃值： (404) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 1019 粉丝 1 关注私信	Fido 9 楼学习了...膜拜楼主和V 2012-10-29 19:30 0
iwantbmw 雪币： 102 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 100 粉丝 0 关注私信	iwantbmw 10 楼哈哈，随便来看下就发现了个好文章，哈哈，谢谢！ 2012-10-29 19:59 0
showhuman 雪币： 242 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 23 粉丝 0 关注私信	showhuman 11 楼这个牛~。字数补丁。123 2012-10-29 20:25 0
linhanshi 雪币： 97697 活跃值： (200799) 能力值： (RANK：10 ) 在线值：发帖 9249 回帖 27943 粉丝 451 关注私信	linhanshi 12 楼 Thanks for share. 上传的附件： cool.gif （0.75kb，18次下载） 2012-10-30 00:17 0
淡定疯着雪币： 297 活跃值： (120) 能力值： ( LV5，RANK：60 ) 在线值：发帖 31 回帖 445 粉丝 1 关注私信	淡定疯着 13 楼来晚了，顶了再慢慢看。 2012-10-30 07:21 0
combojiang 雪币： 321 活跃值： (271) 能力值： ( LV13，RANK：1050 ) 在线值：发帖 44 回帖 765 粉丝 56 关注私信	combojiang 26 14 楼支持下，不过附件的idb打不开。 2012-10-30 10:07 0
obaby 雪币： 14983 活跃值： (5285) 能力值： ( LV15，RANK：880 ) 在线值：发帖 53 回帖 646 粉丝 81 关注私信	obaby 20 15 楼嗯嗯，我也打不开，哈哈。 2012-10-30 11:00 0
kingcomer 雪币： 73 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 190 粉丝 0 关注私信	kingcomer 16 楼做了ring3层的东西~惊现ring0层 2012-10-30 11:35 0
fishgs 雪币： 677 活跃值： (24) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 41 粉丝 0 关注私信	fishgs 17 楼来支持个~~~~~ 2012-10-30 12:34 0
cppcoffee 雪币： 248 活跃值： (188) 能力值： ( LV12，RANK：300 ) 在线值：发帖 11 回帖 51 粉丝 3 关注私信	cppcoffee 6 18 楼为什么我的能打开,我用的IDA是看雪论坛上面提供的破解工具箱里面的IDA Professional v6.1 2012-10-30 13:14 0
张振江雪币： 122 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 226 粉丝 0 关注私信	张振江 19 楼让系统时间加速？ 2012-10-30 14:57 0
samshine 雪币： 265 活跃值： (2476) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	samshine 20 楼 l 论坛搜索dbfix。 2012-10-31 14:20 0
jkryanchou 雪币： 37 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	jkryanchou 21 楼好东西绝对要顶！！！！ 2012-11-3 09:58 0
逆帅雪币： 64 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 32 粉丝 0 关注私信	逆帅 22 楼 mark n.s 2012-11-4 19:36 0
yayayxkf 雪币： 256 活跃值： (41) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 86 粉丝 0 关注私信	yayayxkf 23 楼精辟,最近学习驱动,最喜欢看楼主的文章的,期待下一篇 2012-11-6 19:07 0
taizhong 雪币： 123 活跃值： (316) 能力值： ( LV2，RANK：10 ) 在线值：发帖 20 回帖 158 粉丝 4 关注私信	taizhong 24 楼问题来了，win10 64位系统呢？ 2020-6-4 01:09 0
ZwCopyAll 雪币： 259 活跃值： (283) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 266 粉丝 10 关注私信	ZwCopyAll 25 楼 666 2020-6-4 17:54 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复