-
-
[原创]过某p反双机调试，目标游戏fkxd.
-
发表于: 2015-6-1 11:39
-
写东西我真的不会啊，有些细枝末节，我真的讨厌讲所以有不明白的大家加我，QQ，2386847899。本人属于三无之人，有的是时间，求收留。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
我就简单说说，检测的地方都有哪里。。。。
1. KiDebugRoutine ，KiDebugRoutine是函数指针，内核调试引擎的异常处理回调函数指针。当内核调试引
擎活动时，它指向KdpTrap函数，否则指向KdpStub函数。
2.KdDebuggerEnabled ，kdDebuggerEnabled变量不停的清零,清零的代码还做了检测,所以意味着不能轻易
修改*P的代码, kdDebuggerEnabled是windows全局变量，用来标识内核调试是否被启用
3.KdEnteredDebugger ，这也是用来标识内核调试是否被启用。
下面就来说说解决办法，对于第一个，既然检测KiDebugRoutine指向的函数，所以我们直接改他的函数他就
是over，所以我们可以想想从，它指向的函数的内部绕过，我用的是hook，KdpStub函数的办法，首先还没
开游戏之前咱们载入驱动，驱动怎么写，很简单，就是hook KdpStub 函数头，直接跳到，KdpTrap，因为我
们是debug模式启动，这时候，我们就把KiDebugRoutine指向的地址改为，KdpStub，然后我们下断点，发现
，依然可以正常使用。
第二个，我还是看别人的文章的，就是替换变量，简单讲就是哪里用到KdDebuggerEnabled，的时候我们就
，改为我们自己驱动的变量，然后，我们给值为1，但是，往哪里找到呢？，既然我们是调试，我们直接在
属于调试范畴的函数里面找，就在 KiDispatchException 这个函数里，总共有四处，我就懒得找了。
第三个，其实就是个标志，直接改为0，就行了。
这三处搞完，就可以吗？答案是，no。
大家可以想想，再看下面的解答。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。
好了，KdpTrap这个函数真是个阴险狡诈之徒，背着我们一直调用KdEnterDebugger对KdEnteredDebugger 变量清零，所以，解决上面的就可以双机调试了
我就简单说说，检测的地方都有哪里。。。。
1. KiDebugRoutine ，KiDebugRoutine是函数指针，内核调试引擎的异常处理回调函数指针。当内核调试引
擎活动时，它指向KdpTrap函数，否则指向KdpStub函数。
2.KdDebuggerEnabled ，kdDebuggerEnabled变量不停的清零,清零的代码还做了检测,所以意味着不能轻易
修改*P的代码, kdDebuggerEnabled是windows全局变量，用来标识内核调试是否被启用
3.KdEnteredDebugger ，这也是用来标识内核调试是否被启用。
下面就来说说解决办法，对于第一个，既然检测KiDebugRoutine指向的函数，所以我们直接改他的函数他就
是over，所以我们可以想想从，它指向的函数的内部绕过，我用的是hook，KdpStub函数的办法，首先还没
开游戏之前咱们载入驱动，驱动怎么写，很简单，就是hook KdpStub 函数头，直接跳到，KdpTrap，因为我
们是debug模式启动，这时候，我们就把KiDebugRoutine指向的地址改为，KdpStub，然后我们下断点，发现
，依然可以正常使用。
第二个，我还是看别人的文章的，就是替换变量，简单讲就是哪里用到KdDebuggerEnabled，的时候我们就
，改为我们自己驱动的变量，然后，我们给值为1，但是，往哪里找到呢？，既然我们是调试，我们直接在
属于调试范畴的函数里面找，就在 KiDispatchException 这个函数里，总共有四处，我就懒得找了。
第三个，其实就是个标志，直接改为0，就行了。
这三处搞完，就可以吗？答案是，no。
大家可以想想，再看下面的解答。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
。。。。。。。。
好了，KdpTrap这个函数真是个阴险狡诈之徒，背着我们一直调用KdEnterDebugger对KdEnteredDebugger 变量清零，所以，解决上面的就可以双机调试了
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
