[求助]TP是怎么检测到CE.OD.XT的？-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[求助]TP是怎么检测到CE.OD.XT的？

发表于: 2013-6-30 19:06 16216

[求助]TP是怎么检测到CE.OD.XT的？

文夏之

活跃值

2013-6-30 19:06

16216

开游戏，开CE，等一会TP就说安全系统检测到游戏环境异常，请重启机器后再登陆游戏
它是怎么检测到的？
TP Hook了NtOpenThread NtOpenProcess KiAttachProcess NtReadVirtualMemory NtWriteVirtualMemory debugport清零等还有别的什么的处理，是和这些处理有关，还是别的什么的？
求教啊！！！

[招生]科锐逆向工程师培训(2025年3月11日实地，远程教学同时开班, 第52期)！

收藏・3

免费

支持

分享

最新回复 (12)
Sirna 雪币： 37 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 26 粉丝 0 关注私信	Sirna 2 楼看看,顶起 2013-6-30 19:38 0
伏特加雪币： 100 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 45 粉丝 0 关注私信	伏特加 3 楼窗口，不是内存你hook了几个无辜的函数 2013-6-30 19:43 0
文夏之雪币： 24 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 37 粉丝 0 关注私信	文夏之 4 楼它是怎么弄的？详细点呗 2013-6-30 20:13 0
IDGHOST 雪币： 115 活跃值： (46) 能力值： ( LV4，RANK：40 ) 在线值：发帖 16 回帖 197 粉丝 1 关注私信	IDGHOST 5 楼虽然TP不太清楚，但我知道HS会枚举系统的EPROCESS，它判断的是进程名(应该还有窗口组件标题) 2013-6-30 23:23 0
dadudedidi 雪币： 185 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 40 粉丝 0 关注私信	dadudedidi 6 楼过保护看起来不是很容易呀 2013-7-3 17:13 0
文夏之雪币： 24 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 37 粉丝 0 关注私信	文夏之 7 楼求CE过TP非法检测啊 2013-7-6 15:29 0
ttstation 雪币： 1113 活跃值： (696) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 160 粉丝 1 关注私信	ttstation 8 楼貌似，r3检测线程，处理掉应该可以 2013-7-6 16:28 0
文夏之雪币： 24 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 37 粉丝 0 关注私信	文夏之 9 楼我是想知道TP的检测是怎样的一个流程综合上边的就是：TP有一个线程时时检测当前的窗口或标题或进程，通过特征码比较，看是否非法求明白的指点指点 2013-7-6 17:17 0
IDGHOST 雪币： 115 活跃值： (46) 能力值： ( LV4，RANK：40 ) 在线值：发帖 16 回帖 197 粉丝 1 关注私信	IDGHOST 10 楼你挂掉r3的检测线程，TP也会把游戏挂掉不单只检测特征码，像dak32.sys这个驱动对tp很显眼的。 2013-7-6 17:23 0
文夏之雪币： 24 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 37 粉丝 0 关注私信	文夏之 11 楼那该咋办？和尚老师在KiAttcakProcess动手脚，看得晕晕的 2013-7-6 18:42 0
IDGHOST 雪币： 115 活跃值： (46) 能力值： ( LV4，RANK：40 ) 在线值：发帖 16 回帖 197 粉丝 1 关注私信	IDGHOST 12 楼之前想到过个简单点的方法暂时忘了，既然不清楚TP怎么通知游戏非法了，那么一步步反检测。先hook shadow，隐藏CE所有窗口；现在很多外挂都是动态窗口名，按钮敏感字符分隔开； 2.然后可以句柄表对进程断链，防止被检测特征码（改KiAttcakProcess应该也是这样，TP切换线程来读取） 3.把加载CE驱动的选择去掉，当然还可能检测进程名、附带的动态库。我想TP还不至于到遍历系统所有的已加载模块的地步。 2013-7-6 19:21 0
cqzj70 雪币： 77 活跃值： (53) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 325 粉丝 0 关注私信	cqzj70 13 楼既然楼主看过和尚老师的视频，就应该知道怎样过TP呀，讲的横清楚了 2013-7-7 07:35 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

文夏之

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区