-
-
[原创]浅谈DXF的TP保护
-
发表于: 2014-1-16 22:52
-
本人原来是做手机行业这块的，内核基础比较差，对驱动这块比较陌生，讲得不对的地方请大家指点。
DXF跑起来的时候进程DNF.exe TenSafe_1.exe 但是驱动却只有TenSafe.sys模块，那么只要我们搞定TenSafe.sys模块就能过TP了，我上传了一份代码，这份代码也是论坛上找到的，VS2008+WINDDK。大家可以下载来看看！
先上图！
我们看见的图里TenSafe.sys Hook了原系统的SSDT ShadowSSDT这2张表里面的函数，我们恢复它们，方法很多，代码里是用了特征码搜索找到对应的当前地址进行Hook。
HookKeAttchProcess.h
HookKeStackAttachProcess.h
HookReadVirtualMemory.h
HookWriteVirtualMemory.h
HookNtProtectVirtualMemory.h
HookKeServiceDescriptorTableShadow.h
HookNtOpenProcess.h
HookNtOpenThread.h
恢复方法大家可以看代码 ，无疑就是挂钩，地址跳转到源地址和跳过它执行等，如果不会的兄弟最好去下载些hook视频来看下，应该很快就会过了。
HookNtOpenProcess.h HookNtOpenThread.h TenSafe.sys其实都是对ObOpenObjectByPointer的修改，我们恢复回来好用CE OD来附加! 不然DNF.exe进程都找不到；
HookReadVirtualMemory.hHookWriteVirtualMemory.hHookNtProtectVirtualMemory.h
TenSafe.sys其实都是对 NtReadVirtualMemory NtWriteVirtualMemory NtProtectVirtualMemory进行修改，我们恢复回来好用CE OD来附加DNF.exe对它进行读取内存地址值 写入内存地址值；
HookKeServiceDescriptorTableShadow.h TenSafe.sys其实都是对NtGdiBitBlt NtGdiStretchBlt进行hook 无法让取屏幕一块区域 ；
HookKeAttchProcess.h HookKeStackAttachProcess.h TenSafe.sys对这2函数里的KiAttachProcess进行了hook,这个KiAttachProcess函数我买你不能直接恢复和return 因为它里面会有检测 这里只有重写此函数，这个函数比较重要QQ2013 QQ2014的QQProtect.sys也对此函数进行了修改！QQProtect.sys对SSDT ShadowSSDT里许多函数都进行了hook的，所以一定能够要干掉C:\WINDOWS\system32\drivers\QQProtect.sys 我们现在如果要DXF和QQ一起用 还得搞定QQProtect.sys里的Hook;
其实我们搞定了这几个函数 想让OD CE正常调试 些出来的东西不被检测， 还有许多事要做，最先NtDebugActiveProcess让我们去 debug它能否调试 DbgkpPostFakeProcessCreateMessages DbgkpPostFakeModuleMessages DbgkpSendApiMessage 3个函数里最终找到的DbgkpQueueMessage 调试消息中断 更有NtSetContextThread NtGetContextThread 函数对断点的清空；
都搞定这些后，其实我们才刚开始过TP，无论OD CE能加载 能读取修改内存的值等，我认为TP难就难在检测这块，我也刚接触驱动，也看了些朋友们写的关于这块的东西，主要是debugport的清零和检测
清零和检测 到时候我再单独写一篇文章来讲，大家可以先讨论 讨论！
PassTPSafe.rar
[峰会]看雪.第八届安全开发者峰会10月23日上海龙之梦大酒店举办！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
小兄弟你还是回去做手机吧，过驱保不是你能玩的了得的！！
   这是我做的你参考一下吧！ 另：看了你的源程序，是和尚的都已经过时了！ |
|
|
楼主,你还是继续做手机吧,离破保护像楼上说的,真的还有十万八千里
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
