首页
社区
课程
招聘
[求助]某驱动更新,禁止双机调试
发表于: 2013-9-4 10:14 6684

[求助]某驱动更新,禁止双机调试

2013-9-4 10:14
6684
某驱动更新,禁止双机调试

驱动不断调用KdDisableDebugger来防止双机调试
以前方法修改2处 驱动Base+0xXXXXX 改74    驱动Base+0xXXXXX 改75
现在驱动对这两处有校验
小弟方法:拦截驱动初始化加载,进行对驱动校验处理,替换校验代码

HOOK那个NT函数来拦截驱动加载

NtLoadDriver和NtSetSystemInformation
这两个使用那个比较好点

用拦截NtCreateSection拦截驱动,获得的驱动是加载成功了么
小弟在次谢谢了

[课程]FART 脱壳王!加量不加价!FART作者讲授!

收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 1906
活跃值: (712)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
小白路过,帮顶一个
2013-9-4 10:47
0
雪    币: 34
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
直接对KdDisableDebugger下断点不就可以了吗
此时驱动正在初始化反双机调试
只要不让他调用成功,你就可以慢慢分析反双机调试了
2013-9-4 12:08
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
但驱动会不断调用KdDisableDebugger
在KdDisableDebugger改C3也须可行
但改成C3驱动有校验,如果KdDisableDebugger返回的值没有成功
驱动会把电脑重起
2013-9-5 07:42
0
雪    币: 32
活跃值: (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
”驱动校验处理,替换校验代码“这个我处理了,还是不行的,会重启,TP对效验的地方还有效验;
2013-9-5 11:29
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
事先要在TP启动之前加载自己驱动
在TP启动的时候就要拦截处理校验,这样才可以吧
2013-9-6 11:11
0
雪    币: 615
活跃值: (530)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
7
AGP论坛零基础驱动教程-1.2.8(1.解决TP最新版双机调试实例)   
AGP论坛零基础驱动教程-1.2.8(2.解决TP双机调试实战)   同学这两课有老师讲解的。
2013-9-6 17:29
0
游客
登录 | 注册 方可回帖
返回
//