-
-
[原创]ssdt hook 的一个小插曲
-
发表于: 2014-8-24 14:02
-
在做一个游戏保护，32 位下用了 ssdt hook ，钩住了 NtReadVirtualMemory 和 NtWriteVirtualMemory，经过玩家反馈，发现有很大几率触发一个Bug，导致被保护进程一直 CPU 100%
步骤一：锁定Bug范围
我先把 NtReadVirtualMemory 的 hook 取消，那名玩家测试过后发现问题依旧，之后把 NtWriteVirtualMemory 的 hook 取消了，经过测试，发现这个 Bug 神秘失踪了
步骤二：对比
由于本人调试技术太差，所以只能用比较笨的方式来进行排错，我下载了 HackShield 的 SDK (不用Demo的话，hs保护的游戏直接非法后退出...)，而后看见 hs 利用 inline hook 处理了跟我相同的地方，但是有意思的是，多了 NtOpenProcess 和 NtProtectVirtualMemory
步骤三：解决
我立即就想起了一段著名的代码， 就是看雪的 《 x64 下保护进程的方法》（大概是这个，忘记了），里面需要对 OpenProcess 的操作位做一些处理，然后马上将 NtOpenProcess 加入 ssdt hook范围，对被保护的进程去掉 PROCESS_VM_OPERATION 、PROCESS_VM_READ、PROCESS_VM_WRITE 标志，再发给测试玩家后，Bug 解除
总结：在内核中，想把功能做出来很容易，但是想做稳定，非常的难！
步骤一：锁定Bug范围
我先把 NtReadVirtualMemory 的 hook 取消，那名玩家测试过后发现问题依旧，之后把 NtWriteVirtualMemory 的 hook 取消了，经过测试，发现这个 Bug 神秘失踪了
步骤二：对比
由于本人调试技术太差，所以只能用比较笨的方式来进行排错，我下载了 HackShield 的 SDK (不用Demo的话，hs保护的游戏直接非法后退出...)，而后看见 hs 利用 inline hook 处理了跟我相同的地方，但是有意思的是，多了 NtOpenProcess 和 NtProtectVirtualMemory
步骤三：解决
我立即就想起了一段著名的代码， 就是看雪的 《 x64 下保护进程的方法》（大概是这个，忘记了），里面需要对 OpenProcess 的操作位做一些处理，然后马上将 NtOpenProcess 加入 ssdt hook范围，对被保护的进程去掉 PROCESS_VM_OPERATION 、PROCESS_VM_READ、PROCESS_VM_WRITE 标志，再发给测试玩家后，Bug 解除
总结：在内核中，想把功能做出来很容易，但是想做稳定，非常的难！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
做保护真好啊，羡慕嫉妒
|
|
|
从利益来看，不发出来对我没什么损失，但如果别人因为这个小问题浪费时间，那是对全人类的不负责
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我觉得应该把所有的钩子全去了，那就非常稳定，而且耗系统资源少，CPU不会100%，也不会无缘无故蓝屏了。
|
|
|
|
|
|
|
|
|
|
