能力值：
( LV4，RANK：50 )
|
-
-
2 楼
魔兽会扫描自己目录下的相关文件，然后加载
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
类似于劫持？
|
能力值：
( LV5，RANK：60 )
|
-
-
4 楼
也可能注入别的进程了，比如services.exe，在白名单里程序注入不会被拦截
|
能力值：
( LV4，RANK：50 )
|
-
-
5 楼
你感觉错了...你要从头到尾跟一次
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
可能是SPI``改注册表.
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
冇用嘅...
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
 楼上是什么字体
..
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
有点高端
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
有点高端 兽会扫描自己目录下的相关文件，然后加载
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
难道是传说中的‘白加黑’？
|
能力值：
( LV2，RANK：10 )
|
-
-
12 楼
最简单的开个HIPS设置全规则再开程序然后运行游戏,一步步看规则不就知道了?...然后用xuetr辅助查看,,,..一般用的是挟持了..
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
如果你确信此外挂真的只释放了1个文件，那么应该是wow对指定文件夹的扫描自动加载。
否则，就是system32,windows目录下系统dll的劫持，或者spi,或者xxxx
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
排除远程线程注入了吗？
|
能力值：
( LV2，RANK：10 )
|
-
-
15 楼
应该没有远程注入吧，因为以后开外挂，只需启动魔兽就行，完全不用运行外挂了，所以这个外挂的启动方式很奇怪！
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\SERVICES\WINSOCK2\PARAMETERS\PROTOCOL_CATALOG9\CATALOG_ENTRIES\000000000001\[]
发现那外挂写这个注册表，当魔兽建立网络连接时，就启动外挂了，到底是什么原理？
|
能力值：
( LV13，RANK：240 )
|
-
-
16 楼
LSP注入 
|
能力值：
( LV2，RANK：10 )
|
-
-
17 楼
万分感谢！！！原来还有这种方式的！！
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
LSP无疑~~
|
能力值：
( LV2，RANK：10 )
|
-
-
19 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
20 楼
话说需要用到网络层的东西都要加载这个LSP的dll，这样就相当于劫持了。。
|
|
|
|
