-
-
[旧帖] NtOpenProcess被HOOK,跳回原函数地址后仍然无法看到进程 0.00雪花
-
发表于: 2013-1-5 13:22
-
2013/1/3
看过郁金香的驱动视频后,其中第十一集讲到用工具可以恢复游戏的HOOK,
只要在被修改的地方的头部加一个jmp跳回到原来函数就行了,于是去实践.
在虚拟机内装了某游戏,运行游戏后用XT工具查看游戏HOOK的函数,
如下:
游戏的进程为:Game.exe
用普通的OD查看附加列表时看不到游戏进程的:
通过搜索得知是NtOpenProcess被hook的缘故.
所以用工具把hook的地址头部做JMP跳回原函数地址.
用工具查看得知原函数地址为:0x805CC3FC
现在的地址为:0xB078FBD0
用Kernel工具在当前地址做修改把第一条汇编指令修改为 jmp 0x805CC3FC
然后重新用OD查看进程列表
查看后发现还是没有看到目标游戏进程,我怀疑时我修改的JMP被游戏修改回来了,于是我冲洗你查看修改的地方.
发现并未被游戏修改回来,请问为什么会出现这种状况?
本人刚开始学习驱动,虚拟机winDbug调试器装好了,这个驱动并没有拦截双机调试,所以可以再WinDbug下调试,希望大家能指点.
看过郁金香的驱动视频后,其中第十一集讲到用工具可以恢复游戏的HOOK,
只要在被修改的地方的头部加一个jmp跳回到原来函数就行了,于是去实践.
在虚拟机内装了某游戏,运行游戏后用XT工具查看游戏HOOK的函数,
如下:
游戏的进程为:Game.exe
用普通的OD查看附加列表时看不到游戏进程的:
通过搜索得知是NtOpenProcess被hook的缘故.
所以用工具把hook的地址头部做JMP跳回原函数地址.
用工具查看得知原函数地址为:0x805CC3FC
现在的地址为:0xB078FBD0
用Kernel工具在当前地址做修改把第一条汇编指令修改为 jmp 0x805CC3FC
然后重新用OD查看进程列表
查看后发现还是没有看到目标游戏进程,我怀疑时我修改的JMP被游戏修改回来了,于是我冲洗你查看修改的地方.
发现并未被游戏修改回来,请问为什么会出现这种状况?
本人刚开始学习驱动,虚拟机winDbug调试器装好了,这个驱动并没有拦截双机调试,所以可以再WinDbug下调试,希望大家能指点.
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
额.你可以私聊我 jmp8@qq.com
|
|
|
这个内核钩子的地方.不过感觉跟ntopenprocess没什么关系
  
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
