能力值：
( LV2，RANK：10 )
|
-
-
2 楼
枚举进程加载的模块 可疑模块就上传
|
能力值：
![]()
(RANK：10 )
|
-
-
3 楼
内存注入无模块,Xuter都看不到
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
内存注入dll这个烂大街的技术，TX的工程师都搞不定，那也可以下岗了。
|
能力值：
( LV10，RANK：163 )
|
-
-
5 楼
呵呵,TX的工程师战斗力不足5.
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
无模块 不代表不能定位内存特征 基本PE知识 楼主多补习下再来发问吧
|
能力值：
![]()
(RANK：10 )
|
-
-
7 楼
pe擦除了
|
能力值：
( LV4，RANK：40 )
|
-
-
8 楼
EIP跑到了非常规模块的地址空间，就可以视为可疑
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
果然是dll注入的 可以暴力枚举 抹掉没用 Xuter有些地方偷懒了 毕竟你用的是free版
暴力枚举
//typedef struct _MEMORY_BASIC_INFORMATION {
// PVOID BaseAddress; //查询内存块所占的第一个页面基地址
// PVOID AllocationBase; //内存块所占的第一块区域基地址，小于等于BaseAddress，
// //也就是说BaseAddress一定包含在AllocationBase分配的范围内
// DWORD AllocationProtect; //区域被初次保留时赋予的保护属性
// SIZE_T RegionSize; //从BaseAddress开始，具有相同属性的页面的大小，
// DWORD State; //页面的状态，有三种可能值：MEM_COMMIT、MEM_FREE和MEM_RESERVE，
// //这个参数对我们来说是最重要的了，从中我们便可知指定内存页面的状态了
// DWORD Protect; //页面的属性，其可能的取值与AllocationProtect相同
// DWORD Type; //该内存块的类型，有三种可能值：MEM_IMAGE、MEM_MAPPED和MEM_PRIVATE
//} MEMORY_BASIC_INFORMATION, *PMEMORY_BASIC_INFORMATION;
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
暴力内存扫描,从00000000 扫到7FFFFFFF .怎么 隐藏都没用
|
能力值：
![]()
(RANK：10 )
|
-
-
11 楼
这个API hook了 NtQuexxxVir
|
能力值：
![]()
(RANK：10 )
|
-
-
12 楼
 这不是要HOOK吗？
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
请问楼主解决了吗？这么解决的，能讲讲吗?
|
能力值：
( LV4，RANK：40 )
|
-
-
15 楼
处理一下ZWQ
|
能力值：
( LV2，RANK：10 )
|
-
-
16 楼
ZwQueryVirtualMemory吗？我是这样处理的。直接修改的他查询的地址。
这样的好像无效果，请问要这么处理？
|
能力值：
( LV3，RANK：30 )
|
-
-
17 楼
通过分页属性就可以找到你
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
请问具体是怎么样子的呢？能详细点么？
|
能力值：
( LV2，RANK：10 )
|
-
-
19 楼
如果游戏取特征码， 那么试试将全局变量加密，并且一定时间内密码改变一次；将代码段改为可写，代码中插入花指令，并且一定时间内（/或运行一次），改变一次。
楼主试试，如果行。echo下
|
能力值：
( LV8，RANK：120 )
|
-
-
20 楼
模仿病毒~~自动变异~~
|
能力值：
( LV2，RANK：10 )
|
-
-
21 楼
楼主解决了吗
|
|
|
|
